CVE-2024-37821
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w funkcji przesyłania szablonów w Dolibarr ERP CRM do wersji 19.0.1 umożliwia atakującym przesłanie spreparowanego pliku .SQL, co prowadzi do wykonania dowolnego kodu na serwerze.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad systemem, wykraść dane lub zainstalować złośliwe oprogramowanie, co stanowi poważne zagrożenie dla poufności i integralności danych organizacji.
Rekomendacja
Należy natychmiast zaktualizować Dolibarr ERP CRM do najnowszej dostępnej wersji oraz ograniczyć uprawnienia do przesyłania plików tylko dla zaufanych użytkowników.
Inne podatności w Dolibarr ERP CRM
Zobacz wszystkie- CVE-2026-37713Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/class/commonobject.class.php.
- CVE-2026-37712Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/cron/class/cronjob.class.php, w funkcji call_user_func_array().
- CVE-2026-37711Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/actions_addupdatedelete.inc.php.
- CVE-2025-67486Wysokie
Dolibarr to oprogramowanie do zarządzania zasobami przedsiębiorstwa (ERP) oraz relacjami z klientami (CRM). W wersjach 22.0.2 i wcześniejszych występuje podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP na serwerze.
- CVE-2017-17898Wysokie
Dolibarr ERP/CRM w wersji 6.0.4 nie blokuje bezpośrednich żądań do plików *.tpl.php, co umożliwia zdalnym atakującym uzyskanie wrażliwych informacji.
- CVE-2017-9840Wysokie
Dolibarr ERP/CRM w wersji 5.0.3 i wcześniejszych pozwala użytkownikom o niskich uprawnieniach na przesyłanie plików niebezpiecznych typów, co może prowadzić do wykonania dowolnego kodu w kontekście podatnej aplikacji.
- CVE-2018-25357Krytyczne
Dolibarr ERP CRM w wersji 7.0.3 zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie kodu PHP przez parametr db_name. Atakujący może wysłać żądanie POST do install/step1.php z złośliwym kodem PHP w parametrze db_name, a następnie wykonać polecenia przez endpoint check.php z parametrem cmd GET.
- CVE-2026-23500Krytyczne
Dolibarr to oprogramowanie do zarządzania zasobami przedsiębiorstwa (ERP) i relacjami z klientami (CRM). W wersjach przed 23.0.0 proces konwersji ODT na PDF w pliku odf.php łączy stałą konfiguracyjną MAIN_ODT_AS_PDF bez sanitizacji w poleceniu powłoki przekazywanym do exec().
- CVE-2026-22666Wysokie
Podatność w Dolibarr ERP/CRM przed wersją 23.0.2 umożliwia uwierzytelnionym atakującym z uprawnieniami administratora zdalne wykonanie kodu. Problem leży w funkcji dol_eval_standard(), która nie sprawdza zakazanych ciągów znaków w trybie białej listy i nie wykrywa składni dynamicznego wywoływania kodu PHP.
- CVE-2023-38888Krytyczne
Podatność Cross Site Scripting (XSS) w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji oraz wykonanie dowolnego kodu poprzez moduł REST API. Problem dotyczy funkcji analyseVarsForSqlAndScriptsInjection i testSqlAndScriptInject.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in the Upload Template function of Dolibarr ERP CRM up to v19.0.1 allows attackers to execute arbitrary code via uploading a crafted .SQL file.