Podatności Dolibarr ERP CRM

W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/class/commonobject.class.php.

W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/cron/class/cronjob.class.php, w funkcji call_user_func_array().

W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/actions_addupdatedelete.inc.php.

Dolibarr to oprogramowanie do zarządzania zasobami przedsiębiorstwa (ERP) oraz relacjami z klientami (CRM). W wersjach 22.0.2 i wcześniejszych występuje podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP na serwerze.

Dolibarr ERP/CRM w wersji 6.0.4 nie blokuje bezpośrednich żądań do plików *.tpl.php, co umożliwia zdalnym atakującym uzyskanie wrażliwych informacji.

Dolibarr ERP/CRM w wersji 5.0.3 i wcześniejszych pozwala użytkownikom o niskich uprawnieniach na przesyłanie plików niebezpiecznych typów, co może prowadzić do wykonania dowolnego kodu w kontekście podatnej aplikacji.

Dolibarr ERP CRM w wersji 7.0.3 zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie kodu PHP przez parametr db_name. Atakujący może wysłać żądanie POST do install/step1.php z złośliwym kodem PHP w parametrze db_name, a następnie wykonać polecenia przez endpoint check.php z parametrem cmd GET.

Dolibarr to oprogramowanie do zarządzania zasobami przedsiębiorstwa (ERP) i relacjami z klientami (CRM). W wersjach przed 23.0.0 proces konwersji ODT na PDF w pliku odf.php łączy stałą konfiguracyjną MAIN_ODT_AS_PDF bez sanitizacji w poleceniu powłoki przekazywanym do exec().

Podatność w Dolibarr ERP/CRM przed wersją 23.0.2 umożliwia uwierzytelnionym atakującym z uprawnieniami administratora zdalne wykonanie kodu. Problem leży w funkcji dol_eval_standard(), która nie sprawdza zakazanych ciągów znaków w trybie białej listy i nie wykrywa składni dynamicznego wywoływania kodu PHP.

Podatność Cross Site Scripting (XSS) w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji oraz wykonanie dowolnego kodu poprzez moduł REST API. Problem dotyczy funkcji analyseVarsForSqlAndScriptsInjection i testSqlAndScriptInject.

Podatność w Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu, uprzywilejowanemu atakującemu wykonanie dowolnego kodu poprzez spreparowane polecenie lub skrypt.

Dolibarr ERP/CRM w wersjach przed 5.0.3 jest podatny na atak typu SQL injection w pliku user/index.php, w parametrach search_supervisor i search_statut.

Dolibarr ERP/CRM w wersji 4.0.4 przechowuje hasła z użyciem algorytmu MD5, co ułatwia ataki typu brute-force.

Dolibarr ERP/CRM w wersji 4.0.4 zawiera podatność na atak typu SQL Injection w pliku doli/theme/eldy/style.css.php poprzez parametr lang.

Dolibarr ERP CRM do wersji 23.0.2 zawiera podatność w komponencie Legacy Filemanager w pliku htdocs/core/filemanagerdol/connectors/php/config.inc.php. Nieznana funkcja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Łatka jest dostępna w wersji 23.0.3.

Dolibarr ERP CRM do wersji 23.0.1 ma podatność nieprawidłowej autoryzacji w funkcji checkUserAccessToObject w API urlopów.

Dolibarr ERP CRM w wersjach 23.0.0, 23.0.1 i 23.0.2 zawiera podatność w nieznanej funkcji pliku htdocs/user/messaging.php, gdzie manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak może być wykonany zdalnie. Poprawka dostępna w wersji 23.0.3.

W module Strony (Website) systemu Dolibarr ERP & CRM w wersji 22.0.4 i niższych zastosowano filtrowanie oparte na czarnej liście w celu ograniczenia niebezpiecznych funkcji PHP związanych z wykonywaniem poleceń systemowych. Uwierzytelniony użytkownik z uprawnieniami do edycji treści PHP może ominąć to filtrowanie, co prowadzi do pełnego zdalnego wykonania kodu z możliwością wykonywania dowolnych poleceń systemu operacyjnego na serwerze.

W Dolibarr ERP & CRM w wersji 22.0.4 i wcześniejszych, mechanizm wykrywania kodu PHP oraz egzekwowania uprawnień edycji w module Strona internetowa nie jest stosowany spójnie do wszystkich parametrów wejściowych. Umożliwia to uwierzytelnionemu użytkownikowi, ograniczonemu do edycji HTML/JavaScript, wstrzyknięcie kodu PHP przez niezabezpieczone pola podczas tworzenia strony internetowej.

W systemie Dolibarr ERP & CRM w wersji 21.0.1 odkryto podatność zdalnego wykonania kodu (RCE) w module konfiguracji użytkownika, poprzez parametr pola obliczanego.

Podatność w funkcji przesyłania szablonów w Dolibarr ERP CRM do wersji 19.0.1 umożliwia atakującym przesłanie spreparowanego pliku .SQL, co prowadzi do wykonania dowolnego kodu na serwerze.

Brak sanityzacji danych podczas procesu instalacji w Dolibarr ERP CRM do wersji 19.0.0 umożliwia atakującemu z dostępem do sąsiedniej sieci wykonanie dowolnego kodu poprzez specjalnie spreparowane dane wejściowe.

Podatność polegająca na niebezpiecznym przesyłaniu plików w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych. Umożliwia zdalnemu atakującemu wykonanie dowolnego kodu oraz uzyskanie dostępu do wrażliwych informacji poprzez obejście filtrowania rozszerzeń i funkcji zmiany nazw plików.