CVE-2026-97735
WysokieCVSS 8.0Streszczenie
W ITFlow przed wersją 26.08 parser wiadomości e-mail zgłoszeń (cron/ticket_email_parser.php) zezwala na załączniki SVG w wiadomościach, które mogą przychodzić przez SMTP od dowolnych nadawców. Może to umożliwić przetwarzanie niebezpiecznych plików SVG.
Ocena ryzyka
Złośliwy nadawca może przesłać spreparowany załącznik SVG, co potencjalnie prowadzi do wykonania kodu lub innych ataków po stronie odbiorcy.
Rekomendacja
Zaktualizuj ITFlow do wersji 26.08 lub nowszej, która ogranicza obsługę załączników SVG w parserze wiadomości e-mail.
Inne podatności w ITFlow
Zobacz wszystkie- CVE-2026-54597Wysokie
ITFlow, system dokumentacji IT, zgłoszeń i księgowości dla małych MSP, w wersjach przed 26.07 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem zapisu module_support i dostępem do rekordu poświadczeń na czasową ślepą iniekcję SQL poprzez parametr expires w handlerze share_generate_link w agent/ajax.php. Parametr expires jest wstawiany bez cudzysłowów do wyrażenia MySQL INTERVAL, co pozwala na wykonanie warunkowych zapytań do bazy.
- CVE-2026-54596Wysokie
W systemie ITFlow przed wersją 26.07 uwierzytelniony użytkownik z uprawnieniami Technika lub wyższymi może wstrzyknąć kod SQL poprzez parametr frequency w pliku agent/post/recurring_invoice.php. Parametr jest wprawdzie poddawany sanitizacji, ale wstawiany bez cudzysłowów do DATE_ADD, co pozwala na eskalację wstrzyknięcia i ujawnienie danych z bazy.
- CVE-2026-47755Średnie
ITFlow przed wersją 26.05 zawiera podatność, która pozwala uwierzytelnionemu agentowi o niskich uprawnieniach na odczytanie poświadczeń w postaci jawnego tekstu i sekretów TOTP należących do innego klienta. Wystarczy bezpośrednie żądanie do modalu edycji poświadczeń z dowolnym credential_id. Punkt końcowy nie wymusza zakresowania klienta ani autoryzacji na poziomie obiektu przed załadowaniem i odszyfrowaniem rekordu.
Oryginalny opis (angielski, źródło NVD)
ITFlow before 26.08 allows SVG attachments in the ticket email parser (cron/ticket_email_parser.php) for email messages that may arrive over SMTP from arbitrary senders.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS