PT-2026-53271 · Unknown · Frontaccounting

Jiva · Publicado 2026-06-29 · Atualizado 2026-06-29 · CVE-2026-40524

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas FrontAccounting versões anteriores a 2.4.20

Description Existe um problema na função get gl transactions() onde o parâmetro filter type é concatenado diretamente em uma cláusula SQL IN() sem a devida parametrização. Isso permite que usuários com a permissão SA GLANALYTIC realizem uma injeção de SQL cega baseada em booleano—uma técnica usada para extrair dados observando diferenças nas respostas do servidor a consultas verdadeiras ou falsas—fornecendo um parêntese de fechamento seguido de condições maliciosas para extrair dados sensíveis de lançamentos de diário.

Recommendations Atualize o FrontAccounting para a versão 2.4.20 ou posterior. Como medida paliativa temporária, restrinja a permissão SA GLANALYTIC apenas a usuários confiáveis.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-40524

Produtos afetados

Frontaccounting

Referências · 6

• 🔥 https://jivasecurity.com/writeups/frontaccounting-sqli-journal-entries-report-cve-2026-40524 · Exploit
• https://github.com/FrontAccountingERP/FA/commit/647a18196caad27f96ea852e993c9e30f815357f · Correção
• https://twitter.com/VulmonFeeds/status/2071623067525132680 · Publicação no Twitter
• https://vulncheck.com/advisories/frontaccounting-sql-injection-via-get-gl-transactions · Nota
• https://sourceforge.net/p/frontaccounting/news/2026/04/release-2420 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40524 · Nota de Segurança