Dolibarr Third Party frissítési funkciójának SQL-injekciója érzékeny adatok kiolvasását teszi lehetővé hitelesített felhasználók számára (CVE-2026-33944)

Mi történt

Ha egy támadó olyan Dolibarr-fiókkal rendelkezik, amely Third Party (harmadik fél) rekordokat hozhat létre vagy szerkeszthet, a Third Party cégadatok frissítésében SQL-kódot tud befecskendezni. Az alkalmazás a localtax1_value és localtax2_value tulajdonságokat numerikus átalakítás vagy bemeneti ellenőrzés nélkül helyezi el az SQL UPDATE utasításban, ezért a gondosan összeállított lt1 vagy lt2 POST-paraméterek SQL-kóddá válnak.

Az eredmény CWE-89 besorolású SQL-injekció, amely hálózaton keresztül, alacsony jogosultsággal és felhasználói beavatkozás nélkül kihasználható. Sikeres kihasználás esetén a támadó érzékeny adatbázis-információkat – például jelszókivonatokat, API-kulcsokat és üzleti adatokat – olvashat ki, vagy módosíthatja a Third Party rekordokat. A CVSS-pontszám 8,8, ami magas kockázatot jelent. Jelenleg nem érkezett jelentés a sérülékenység valós környezetben történő kihasználásáról.

Kit érint

Az érintett kiadások a Dolibarr 22.0.5-nél korábbi verziói, valamint a Dolibarr 23.0.0-tól 23.0.1-ig terjedő verziói. A sérülékeny útvonal a Third Party cégadatok frissítése, ezért a gyakorlati kitettség azokat a Dolibarr-példányokat érinti, ahol a webes felületet olyan fiókok is elérhetik, amelyek Third Party létrehozási vagy szerkesztési jogosultsággal rendelkeznek. A jellemző telepítések saját szerveren üzemeltetett, vevő- és szállítói adatokat kezelő ERP/CRM-rendszerek; az internet felől elérhető példányokat elsőként érdemes ellenőrizni.

Mit kell most tenni

1. Ellenőrizze, hogy a Dolibarr-verzió 22.0.5-nél korábbi, vagy a 23.0.0–23.0.1 tartományba esik-e.
2. Vizsgálja felül a Third Party létrehozási vagy szerkesztési jogosultsággal rendelkező fiókokat, és távolítsa el vagy függessze fel azokat, amelyek nem feltétlenül szükségesek.
3. A gyártói biztonsági közlemény nem sorol fel kerülő megoldást. Amíg a javítás nem áll rendelkezésre, korlátozza a Dolibarr webes felületének hálózati hozzáférését, különösen akkor, ha az internet felől elérhető.
4. Telepítse a gyártói javítást, amint az megjelenik; a CVE-rekord a 22.0.5 és a 23.0.2 javított kiadást jelöli meg. A telepítés előtt ellenőrizze a gyártói biztonsági közleményt.

Hogyan észlelhető

Mivel a sérülékeny útvonal a Third Party frissítési kérésekbe beépülő SQL-injekció, a webkiszolgáló naplóiban keresse a szokatlan lt1 vagy lt2 értékeket az adott végponthoz érkező POST-kérésekben, különösen a hosszú sztringeket, az idézőjeleket vagy az SQL-kulcsszavakat. Kapcsolja be vagy vizsgálja át az adatbázis auditnaplóit is, és keressen a Third Party táblákat érintő váratlan UPDATE utasításokat, például a helyi adómezők vagy cégrekordok olyan tömeges módosítását, amely nem a szokásos munkafolyamaton keresztül érkezett.

A javításon túl

Ez a hiba a javításon túl azok közé a beviteli validációs hibák közé tartozik, amelyeket a Bevezetési és felmérési szolgáltatások keretében végzett behatolási tesztelés és megerősítés még azelőtt feltár, hogy egy jogosult felhasználó a termelésben visszaélhetne vele. Mivel a Dolibarr egy nyílt forráskódú, harmadik fél által fejlesztett ERP/CRM-alkalmazás, amely saját kiadási ütemezéssel rendelkezik, az Ellátási lánc védelem és harmadik feles kockázatok területén követheti nyomon a futtatott verziót és a gyártói javítások időzítését, hogy ez a kitettségi időszak a tervezett ütemben záruljon le.