Luka oznaczona identyfikatorem CVE-2026-40522 1 otrzymała ocenę 7.1 w skali CVSS (Common Vulnerability Scoring System — system oceny powagi luk), co klasyfikuje ją jako zagrożenie wysokie. Dotyczy ona FrontAccounting, otwartoźródłowego systemu ERP (Enterprise Resource Planning) używanego często przez małe i średnie firmy do zarządzania księgowością, zapasami i sprzedażą. Podatność umożliwia ekstrakcję wrażliwych informacji prosto z bazy danych systemu.

Zaobserwowaliśmy, że wektorem jest funkcja generowania raportów. Atakujący, który posiada już konto w systemie — nawet o niskich uprawnieniach — może spreparować specjalne zapytanie, aby zmusić aplikację do ujawnienia zawartości bazy danych. W kontekście polskiego biznesu, gdzie integralność danych księgowych jest kluczowa dla zgodności z przepisami (np. w kontekście raportowania JPK_VAT), taka luka stanowi poważne ryzyko operacyjne i prawne.

TL;DR

  • Produkt: FrontAccounting, wersje przed 2.4.20 1.
  • Podatność: SQL Injection (wstrzyknięcie SQL) o identyfikatorze CVE-2026-40522 1.
  • Wektor: Zmanipulowane zapytanie POST do generatora raportów „Bank Statement” 2 3.
  • Wpływ: Uwierzytelniony atakujący może wyodrębnić dowolne dane z bazy, w tym nazwy użytkowników, hashe haseł i adresy e-mail 4 5.
  • Kogo dotyczy: Firmy i organizacje, zwłaszcza z sektora MŚP, korzystające z podatnych wersji FrontAccounting do celów księgowych.
  • Pierwszy ruch: Natychmiastowa aktualizacja oprogramowania do wersji 2.4.20 lub nowszej. Przegląd logów serwera WWW w poszukiwaniu śladów ataku.

Wektor ataku

Analiza techniczna wskazuje na klasyczną lukę typu SQL Injection. Występuje ona w module odpowiedzialnym za generowanie raportów wyciągów bankowych (Bank Statement) 2. Atak wymaga posiadania uwierzytelnionej sesji w aplikacji, co oznacza, że sprawca musi dysponować loginem i hasłem do systemu. Nie musi to być jednak konto z uprawnieniami administratora.

Podatność wynika z niewystarczającej walidacji danych wejściowych przekazywanych w parametrze PARAM_0 zapytania typu POST 3. Aplikacja nieprawidłowo oczyszcza dane pochodzące od użytkownika, co pozwala na dołączenie do zapytania SQL złośliwych fragmentów. Atakujący może wykorzystać konstrukcję UNION SELECT, aby połączyć oryginalne zapytanie z własnym, które odpytuje inne tabele w bazie danych 3.

Telemetria potwierdza, że złośliwa składnia SQL jest wstrzykiwana poprzez niesparametryzowaną klauzulę WHERE 6. W praktyce pozwala to na ominięcie logiki aplikacji i wykonanie dowolnego zapytania odczytującego dane. Przykładowo, możliwe jest pobranie pełnej zawartości tabeli użytkowników, co może prowadzić do wycieku loginów, hashy haseł oraz adresów e-mail 5.

Co istotne, dane wykradzione w ten sposób nie są wyświetlane bezpośrednio w interfejsie użytkownika. Zamiast tego, wyniki złośliwego zapytania są wstawiane do treści generowanego raportu w formacie PDF (Portable Document Format) 7. Atakujący po prostu pobiera spreparowany przez siebie raport, w którym znajdują się wykradzione informacje. To utrudnia wykrycie ataku w czasie rzeczywistym bez analizy logów.

Wskaźniki kompromitacji

Brak jest obecnie publicznych, statycznych wskaźników kompromitacji (IoC — Indicators of Compromise), takich jak adresy IP serwerów C2 (Command and Control — serwer kontrolujący zainfekowane maszyny) czy hashe plików. Obrona i detekcja muszą opierać się na analizie wzorców ruchu sieciowego.

Zespoły SOC (Security Operations Center — zespół monitoringu bezpieczeństwa) powinny przeszukać logi serwerów WWW pod kątem podejrzanych zapytań POST kierowanych do skryptów obsługujących raporty w FrontAccounting. Kluczowe jest poszukiwanie prób wstrzyknięcia zapytań SQL w parametrze PARAM_0.

Przykładowy wzorzec złośliwego zapytania w logach może wyglądać podobnie do poniższego (przykład poglądowy):

POST /frontaccounting/reporting/rep_BankStatement.php HTTP/1.1
Host: przykladowa-firma.pl
Content-Type: application/x-www-form-urlencoded
Cookie: [ciasteczko_sesyjne]

PARAM_0=1%27+UNION+SELECT+1%2Cuser_id%2Cpassword%2Creal_name%2Cemail+FROM+0_users--+&PARAM_1=...&PARAM_2=...

Należy zwrócić szczególną uwagę na obecność słów kluczowych SQL, takich jak UNION, SELECT, FROM w wartości parametru PARAM_0.

Co zrobić w 24-48h

Rekomendowane podejście zakłada natychmiastowe działanie w celu ograniczenia ryzyka. Poniższe kroki nie zastępują pełnej konsultacji z zespołem ds. bezpieczeństwa, ale stanowią pierwszą linię obrony.

  1. Aktualizacja: Najważniejszym krokiem jest bezzwłoczna aktualizacja instancji FrontAccounting do wersji 2.4.20 lub nowszej. Według informacji o luce, nowsze wersje zawierają poprawkę usuwającą podatność 1.

  2. Analiza logów: Należy przeprowadzić audyt logów serwera WWW (np. Apache, Nginx) w poszukiwaniu śladów wykorzystania luki. Skupić się należy na żądaniach POST do ścieżek związanych z generowaniem raportów i przeanalizować zawartość parametru PARAM_0 3.

  3. Reset poświadczeń: Jeśli analiza logów wykaże pomyślną próbę ataku lub jeśli nie ma możliwości jej wykluczenia, należy założyć najgorszy scenariusz. Oznacza to kompromitację wszystkich poświadczeń w systemie. Należy natychmiast unieważnić wszystkie sesje i wymusić zmianę haseł dla wszystkich użytkowników.

  4. Ocena naruszenia RODO: W przypadku potwierdzenia wycieku danych osobowych (nazwiska, adresy e-mail) 5, polskie firmy są zobowiązane do oceny ryzyka naruszenia praw i wolności osób fizycznych. Jeśli ryzyko jest wysokie, konieczne może być zgłoszenie incydentu do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin, zgodnie z wymogami RODO (Rozporządzenie o Ochronie Danych Osobowych).

  5. Ograniczenie dostępu: W ramach utwardzania systemu, warto rozważyć ograniczenie dostępu do panelu administracyjnego i użytkownika FrontAccounting tylko do zaufanych adresów IP.

Źródła

Zobacz też

Przypisy

  1. FrontAccounting przed wersją 2.4.20 zawiera lukę typu SQL injection. — nvd.nist.gov › CVE 2026 40522 ↩ ↩2 ↩3 ↩4

  2. Luka znajduje się w obsłudze raportów Bank Statement. — nvd.nist.gov › CVE 2026 40522 ↩ ↩2

  3. Atakujący mogą wstrzykiwać ładunki UNION SELECT do parametru POST o nazwie PARAM_0. — nvd.nist.gov › CVE 2026 40522 ↩ ↩2 ↩3 ↩4

  4. Luka pozwala uwierzytelnionym atakującym na ekstrakcję dowolnych danych z bazy danych. — nvd.nist.gov › CVE 2026 40522 ↩

  5. Możliwe jest pobranie wrażliwych informacji, takich jak nazwy użytkowników, hashe haseł i adresy e-mail z tabeli użytkowników. — nvd.nist.gov › CVE 2026 40522 ↩ ↩2 ↩3

  6. Atakujący mogą dostarczyć złośliwą składnię SQL poprzez niesparametryzowaną klauzulę WHERE. — nvd.nist.gov › CVE 2026 40522 ↩

  7. Pobrane dane są renderowane w wyjściowym raporcie PDF. — nvd.nist.gov › CVE 2026 40522 ↩