CVE-2026-47755
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
ITFlow przed wersją 26.05 zawiera podatność, która pozwala uwierzytelnionemu agentowi o niskich uprawnieniach na odczytanie poświadczeń w postaci jawnego tekstu i sekretów TOTP należących do innego klienta. Wystarczy bezpośrednie żądanie do modalu edycji poświadczeń z dowolnym credential_id. Punkt końcowy nie wymusza zakresowania klienta ani autoryzacji na poziomie obiektu przed załadowaniem i odszyfrowaniem rekordu.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych uwierzytelniających innych klientów, co może prowadzić do nieautoryzowanego dostępu do systemów i danych.
Rekomendacja
Należy natychmiast zaktualizować ITFlow do wersji 26.05, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w ITFlow
Zobacz wszystkie- CVE-2026-54597Wysokie
ITFlow, system dokumentacji IT, zgłoszeń i księgowości dla małych MSP, w wersjach przed 26.07 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem zapisu module_support i dostępem do rekordu poświadczeń na czasową ślepą iniekcję SQL poprzez parametr expires w handlerze share_generate_link w agent/ajax.php. Parametr expires jest wstawiany bez cudzysłowów do wyrażenia MySQL INTERVAL, co pozwala na wykonanie warunkowych zapytań do bazy.
- CVE-2026-54596Wysokie
W systemie ITFlow przed wersją 26.07 uwierzytelniony użytkownik z uprawnieniami Technika lub wyższymi może wstrzyknąć kod SQL poprzez parametr frequency w pliku agent/post/recurring_invoice.php. Parametr jest wprawdzie poddawany sanitizacji, ale wstawiany bez cudzysłowów do DATE_ADD, co pozwala na eskalację wstrzyknięcia i ujawnienie danych z bazy.
Oryginalny opis (angielski, źródło NVD)
ITFlow provides an IT documentation, ticketing and accounting system for small managed service providers. Prior to version 26.05, low-privileged authenticated agent can retrieve plaintext credentials and TOTP secrets belonging to another client by directly requesting the credential edit modal with an arbitrary `credential_id`. The endpoint does not enforce client scoping or object-level authorization before loading and decrypting the credential record. Version 26.05 fixes the issue.