CVE-2026-7688
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W Dolibarr ERP CRM do wersji 23.0.2 zidentyfikowano podatność w funkcji _checkValForAPI w pliku htdocs/expedition/class/expedition.class.php. Manipulacja argumentem fields prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie, choć wymaga wysokiej złożoności.
Ocena ryzyka
Zdalny atakujący może wykonać zapytania SQL, co może prowadzić do wycieku lub modyfikacji danych. Wysoka złożoność ataku zmniejsza prawdopodobieństwo wykorzystania, ale exploit jest publicznie dostępny.
Rekomendacja
Zaktualizuj Dolibarr do wersji zawierającej poprawkę, gdy będzie dostępna. Do czasu naprawy ogranicz dostęp do API wysyłek i stosuj walidację parametrów.
Inne podatności w Dolibarr ERP CRM
Zobacz wszystkie- CVE-2026-116218Wysokie
Dolibarr ERP CRM 19.0.0 przed 23.0.4 zawiera podatność na wstrzyknięcie SQL, pozwalającą uwierzytelnionym użytkownikom API wstrzyknąć SQL przez pole type w endpointcie REST bankaccounts kontrahentów. Atakujący z samym uprawnieniem societe/creer może wyłamać się z nieescapowanej wartości type w CompanyBankAccount::create(), aby odczytać hashe haseł i klucze API za pomocą czasowych podzapytań blind.
- CVE-2026-37713Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/class/commonobject.class.php.
- CVE-2026-37712Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/cron/class/cronjob.class.php, w funkcji call_user_func_array().
- CVE-2026-37711Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/actions_addupdatedelete.inc.php.
- CVE-2017-17898Wysokie
Dolibarr ERP/CRM w wersji 6.0.4 nie blokuje bezpośrednich żądań do plików *.tpl.php, co umożliwia zdalnym atakującym uzyskanie wrażliwych informacji.
- CVE-2017-9840Wysokie
Dolibarr ERP/CRM w wersji 5.0.3 i wcześniejszych pozwala użytkownikom o niskich uprawnieniach na przesyłanie plików niebezpiecznych typów, co może prowadzić do wykonania dowolnego kodu w kontekście podatnej aplikacji.
- CVE-2018-25357Krytyczne
Dolibarr ERP CRM w wersji 7.0.3 zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie kodu PHP przez parametr db_name. Atakujący może wysłać żądanie POST do install/step1.php z złośliwym kodem PHP w parametrze db_name, a następnie wykonać polecenia przez endpoint check.php z parametrem cmd GET.
- CVE-2026-23500Krytyczne
Dolibarr to oprogramowanie do zarządzania zasobami przedsiębiorstwa (ERP) i relacjami z klientami (CRM). W wersjach przed 23.0.0 proces konwersji ODT na PDF w pliku odf.php łączy stałą konfiguracyjną MAIN_ODT_AS_PDF bez sanitizacji w poleceniu powłoki przekazywanym do exec().
- CVE-2026-22666Wysokie
Podatność w Dolibarr ERP/CRM przed wersją 23.0.2 umożliwia uwierzytelnionym atakującym z uprawnieniami administratora zdalne wykonanie kodu. Problem leży w funkcji dol_eval_standard(), która nie sprawdza zakazanych ciągów znaków w trybie białej listy i nie wykrywa składni dynamicznego wywoływania kodu PHP.
- CVE-2023-38888Krytyczne
Podatność Cross Site Scripting (XSS) w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji oraz wykonanie dowolnego kodu poprzez moduł REST API. Problem dotyczy funkcji analyseVarsForSqlAndScriptsInjection i testSqlAndScriptInject.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in Dolibarr ERP CRM up to 23.0.2. This affects the function _checkValForAPI of the file htdocs/expedition/class/expedition.class.php of the component Shipments API Endpoint. The manipulation of the argument fields leads to sql injection. The attack is possible to be carried out remotely. A high degree of complexity is needed for the attack. It is indicated that the exploitability is difficult. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS