CVE-2026-54596

CVE-2026-54596 - 通过 recurringinvoicefrequency 参数实现认证后的SQL注入，导致完整数据库泄露 严重性： 高 安全公告： GHSA-f9m3-qjc9-v27j 修复版本： 提交 7211426 作者： iltosec 摘要 ITFlow 的周期性发票创建端点中存在 SQL 注入漏洞，任何拥有技术员角色的认证用户均可利用该漏洞从数据库中提取任意数据。拥有至少一个客户发票访问权限的技术员，可以在单个 HTTP 请求中提取管理员密码哈希、SMTP 凭证以及所有用户账户数据——无需任何管理员交互。 这是一个认证后的漏洞，所需最低角色为技术员。...