CVE-2026-61518
Açıklama
ISPConfig, Remote API içinde kimlik doğrulaması gerektiren bir SQL enjeksiyonu güvenlik açığı içerir. delete ve update API yöntemlerine iletilen primary_id parametresi, tamsayı dönüşümü veya parametreli sorgu bağlama olmadan doğrudan SQL WHERE yan tümcelerine birleştirilir. Yerleşik SQL enjeksiyonu tarayıcısı, tırnak içermeyen boolean yüklerini engellemez ve varsayılan yapılandırmasında istekleri reddetmez. Herhangi bir tek düşük ayrıcalıklı işlev iznine sahip uzak bir API kullanıcısı, kontrol paneli veritabanındaki tüm kiracılar genelinde kayıtları silmek veya değiştirmek için rastgele SQL enjekte edebilir ve parola karmaları ile istemci kayıtları dahil olmak üzere rastgele verileri kör boolean çıkarımı yoluyla elde edebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ispconfig ispconfig3 | 3.2.0, 3.3.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.