CVE-2026-59109
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność SQL injection w aplikacji księgowej Zalktis występuje przez pola tekstowe kontrolowane przez partnera handlowego w otrzymywanych fakturach elektronicznych. Podczas importowania otrzymanej e-faktury (UBL/PEPPOL) lub eksportu e-commerce, Zalktis łączy wartości kontrolowane przez partnera bezpośrednio z tekstem zapytania SQL, używając konkatenacji stringów, bez sparametryzowanych zapytań ani escapowania. Pomocnicza funkcja Dazadi.sql_txt() nie jest wywoływana w tych ścieżkach, więc strona wysyłająca fakturę może wyrwać się z literału stringa i zmienić logikę zapytania. Problem dotyczy wersji przed 2026.1.586 i przed 2026.2.592.
Ocena ryzyka
Ryzyko manipulacji zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych księgowych, ich modyfikacji lub usunięcia.
Rekomendacja
Zaktualizuj Zalktis do wersji 2026.1.586 lub 2026.2.592 (lub nowszej) i upewnij się, że importowane dane są walidowane.
Oryginalny opis (angielski, źródło NVD)
SQL injection in the Zalktis accounting application via trading-partner-controlled text fields in received electronic invoices. When importing a received e-invoice (UBL/PEPPOL) or an e-commerce export, Zalktis concatenates partner-controlled values directly into SQL statement text using string concatenation, with neither parameterised queries nor escaping. The application's own escaping helper, Dazadi.sql_txt(), is not invoked on these code paths, so a party that sends an invoice can break out of the string literal and alter the query logic. This issue affects Zalktis: before 2026.1.586 and before 2026.2.592.