SQL-Injection beim Aktualisieren von Drittparteien-Datensätzen in Dolibarr ermöglicht authentifizierten Benutzern das Lesen sensibler Daten (CVE-2026-33944)

Was passiert ist

Ein Angreifer mit einem Dolibarr-Konto, das Drittparteien-Datensätze anlegen oder bearbeiten kann, kann bei der Aktualisierung dieser Datensätze SQL-Code einschleusen. Die Anwendung übernimmt die Eigenschaften localtax1_value und localtax2_value ohne numerische Konvertierung oder Bereinigung in eine SQL-UPDATE-Anweisung; manipulierte POST-Parameter lt1 oder lt2 werden dadurch zu SQL-Code.

Das Ergebnis ist eine SQL-Injection nach CWE-89 über das Netzwerk mit geringen Rechten und ohne Benutzerinteraktion. Ein erfolgreicher Angreifer kann sensible Datenbankinformationen lesen, darunter Passwort-Hashes, API-Schlüssel und Geschäftsdaten, oder Drittparteien-Datensätze verändern. Der CVSS-Score beträgt 8,8 (hoch). Derzeit liegen keine Meldungen über eine Ausnutzung in freier Wildbahn vor.

Wer betroffen ist

Betroffen sind Dolibarr-Versionen vor 22.0.5 sowie Dolibarr 23.0.0 bis 23.0.1. Der verwundbare Pfad liegt in der Funktion zum Aktualisieren von Drittparteien-Datensätzen; praktisch exponiert sind daher Dolibarr-Instanzen, bei denen Konten mit der Berechtigung zum Anlegen oder Bearbeiten von Drittparteien-Datensätzen auf das Webinterface zugreifen können. Typische Installationen sind selbst gehostete ERP-/CRM-Systeme, die Kunden- und Lieferantendaten führen; aus dem Internet erreichbare Instanzen sollten zuerst geprüft werden.

Was jetzt zu tun ist

1. Prüfen Sie, ob Ihre Dolibarr-Version vor 22.0.5 liegt oder in den Bereich 23.0.0 bis 23.0.1 fällt.
2. Überprüfen Sie Konten mit der Berechtigung zum Anlegen oder Bearbeiten von Drittparteien-Datensätzen und entfernen oder sperren Sie alle, die nicht erforderlich sind.
3. Der Herstellerhinweis nennt keine Problemumgehung. Bis ein Fix verfügbar ist, schränken Sie den Netzzugriff auf das Dolibarr-Webinterface ein, insbesondere wenn es aus dem Internet erreichbar ist.
4. Spielen Sie den Fix des Herstellers ein, sobald er veröffentlicht ist; der CVE-Eintrag nennt die korrigierten Versionen 22.0.5 und 23.0.2. Prüfen Sie vor dem Einsatz den Herstellerhinweis.

Wie man es erkennt

Da der verwundbare Pfad eine SQL-Injection in Anfragen zum Aktualisieren von Drittparteien-Datensätzen ist, prüfen Sie die Webserver-Protokolle auf ungewöhnliche Werte für lt1 oder lt2 in POST-Anfragen an diesen Endpunkt, insbesondere auf lange Zeichenketten, Anführungszeichen oder SQL-Schlüsselwörter. Aktivieren oder prüfen Sie Datenbank-Auditprotokolle auf unerwartete UPDATE-Anweisungen auf Tabellen für Drittparteien, etwa Massenänderungen an lokalen Steuerfeldern oder an Unternehmensdatensätzen, die nicht über den normalen Arbeitsablauf erfolgt sind.

Über den Patch hinaus

Über das Patchen hinaus handelt es sich hier um eine Schwachstelle bei der Eingabevalidierung, die Penetrationstests und Härtung im Rahmen von Implementierungs- und Bewertungsleistungen finden, bevor ein berechtigter Benutzer sie in der Produktion missbrauchen kann. Da Dolibarr eine Open-Source-ERP-/CRM-Anwendung eines Drittanbieters mit eigenem Release-Zyklus ist, verfolgen Sie unter Lieferkettenschutz und Risiken durch Dritte die von Ihnen eingesetzte Version und den Patch-Zeitplan des Herstellers, damit dieses Gefährdungsfenster planmäßig geschlossen wird.