CVE-2023-33568

W podatności CVE-2017-14242 występuje luka typu SQL injection w pliku don/list.php w wersji 6.0.0 systemu Dolibarr, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr statut.

Dolibarr do wersji 23.0.2 zawiera podatność w nieznanej funkcji pliku htdocs/document.php w komponencie CSP. Manipulacja prowadzi do awarii mechanizmu ochrony, a atak można wykonać zdalnie.

Dolibarr w wersji przed 23.0.4 zawiera podatność typu PHP object injection w funkcji jsonOrUnserialize() w pliku functions.lib.php, która wywołuje unserialize() bez ograniczeń klas, gdy json_decode() zawiedzie. Atakujący mogący zapisywać przechowywane extrafields, konfiguracje eksportu lub zablokowane wpisy logów może umieścić serializowane obiekty wywołujące łańcuchy gadżetów prowadzące do wykonania kodu lub manipulacji plikami.

Dolibarr w wersji od 23.0.4 do 24.0.1 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików poprzez podanie spreparowanej wartości parametru hashp. Atakujący może użyć hashp=shared, aby pominąć walidację tokenu i uzyskać dostęp do logów, dokumentów biznesowych, kopii zapasowych bazy danych i plików innych jednostek.

Dolibarr 24.0.0 przed 24.0.1 zawiera podatność obejścia denylisty zależną od wielkości liter w parametrze zapytania API sqlfilters. Uwierzytelniony atakujący może odzyskać chronione pola bazy danych, podając nazwy pól z denylisty wielkimi literami, wykorzystując różnicę między wrażliwym na wielkość liter sprawdzeniem denylisty a niewrażliwym na wielkość liter rozwiązywaniem kolumn.

W Dolibarr do wersji 21.0.4/22.0.5/23.0.3 wykryto podatność w Legacy File Manager, w pliku htdocs/core/filemanagerdol/connectors/php/config.inc.php. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie. Exploit jest publiczny. Aktualizacja do wersji 23.0.4 rozwiązuje problem.

Dolibarr w wersjach od 10.0.0 do przed 24.0.0 nie przeprowadza kontroli autoryzacji per obiekt w punkcie końcowym REST API Users::getGroups, co pozwala uwierzytelnionym użytkownikom na pobieranie członkostw w grupach innych użytkowników. Atakujący mogą wywołać GET /users/{id}/groups z dowolnymi identyfikatorami użytkowników, aby uzyskać nazwy grup, powiązania encji i prywatne notatki ponad granicami dzierżawców.

Dolibarr w wersjach od 9.0.0 do 23.0.4 zapisuje załączniki przychodzących wiadomości e-mail pod nazwą pochodzącą z nagłówków MIME bez redukcji do bezpiecznej nazwy bazowej. Funkcje saveAttachment() w htdocs/emailcollector/lib/emailcollector.lib.php oraz w htdocs/emailcollector/class/emailcollector.class.php budują ścieżkę pliku z nazwy załącznika, która może zawierać sekwencje przejść ścieżek, co pozwala na zapis treści poza katalogiem docelowym.

Dolibarr przed wersją 23.0.4 autoryzuje usuwanie dokumentów przez REST API z użyciem niewłaściwego uprawnienia. Funkcja Documents::delete() wywołuje dol_check_secure_access_document() z trybem 'read' zamiast 'write', co pozwala uwierzytelnionemu użytkownikowi z tylko uprawnieniami do odczytu na trwałe usunięcie dokumentów modułu.

Dolibarr przed wersją 24.0.0 zawiera podatność na wstrzyknięcie SQL w kreatorze importu CSV i XLSX. Kreator odczytuje klucze aktualizacji przez GETPOST('updatekeys', 'array') w htdocs/imports/import.php, stosując tylko filtr alphanohtml, który nie usuwa słów kluczowych SQL, komentarzy, nawiasów, spacji i cudzysłowów. Funkcja import_insert() w htdocs/core/modules/import/import_csv.modules.php buduje filtr z $where[] = $key.' = '.$data[$key] i wykonuje go przez $this->db->query(), co pozwala na wstrzyknięcie SQL.