CVE-2026-81730
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Dolibarr w wersjach od 9.0.0 do 23.0.4 zapisuje załączniki przychodzących wiadomości e-mail pod nazwą pochodzącą z nagłówków MIME bez redukcji do bezpiecznej nazwy bazowej. Funkcje saveAttachment() w htdocs/emailcollector/lib/emailcollector.lib.php oraz w htdocs/emailcollector/class/emailcollector.class.php budują ścieżkę pliku z nazwy załącznika, która może zawierać sekwencje przejść ścieżek, co pozwala na zapis treści poza katalogiem docelowym.
Ocena ryzyka
Osoba wysyłająca wiadomość e-mail na monitorowaną skrzynkę może umieścić złośliwe pliki poza katalogiem załączników, co może prowadzić do uszkodzenia lub fałszowania dokumentów innych obiektów, a w przypadku zapisywalnego htdocs – do wykonania kodu w ścieżce webowej.
Rekomendacja
Zaleca się aktualizację do wersji 24.0.0, która stosuje funkcje dol_sanitizePathName() i dol_sanitizeFileName() przed zapisem pliku.
Inne podatności w Dolibarr
Zobacz wszystkie- CVE-2023-33568Wysokie
W Dolibarr w wersji 16 przed 16.0.5 występuje problem, który pozwala nieautoryzowanym atakującym na wykonanie zrzutu bazy danych oraz dostęp do pełnych informacji o klientach, potencjalnych klientach, dostawcach i pracownikach, jeśli istnieje plik kontaktowy.
- CVE-2017-14242Krytyczne
W podatności CVE-2017-14242 występuje luka typu SQL injection w pliku don/list.php w wersji 6.0.0 systemu Dolibarr, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr statut.
- CVE-2026-112361Średnie
Dolibarr do wersji 23.0.2 zawiera podatność w nieznanej funkcji pliku htdocs/document.php w komponencie CSP. Manipulacja prowadzi do awarii mechanizmu ochrony, a atak można wykonać zdalnie.
- CVE-2026-110874Średnie
Dolibarr w wersji przed 23.0.4 zawiera podatność typu PHP object injection w funkcji jsonOrUnserialize() w pliku functions.lib.php, która wywołuje unserialize() bez ograniczeń klas, gdy json_decode() zawiedzie. Atakujący mogący zapisywać przechowywane extrafields, konfiguracje eksportu lub zablokowane wpisy logów może umieścić serializowane obiekty wywołujące łańcuchy gadżetów prowadzące do wykonania kodu lub manipulacji plikami.
- CVE-2026-89013Wysokie
Dolibarr w wersji od 23.0.4 do 24.0.1 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików poprzez podanie spreparowanej wartości parametru hashp. Atakujący może użyć hashp=shared, aby pominąć walidację tokenu i uzyskać dostęp do logów, dokumentów biznesowych, kopii zapasowych bazy danych i plików innych jednostek.
- CVE-2026-89012Średnie
Dolibarr 24.0.0 przed 24.0.1 zawiera podatność obejścia denylisty zależną od wielkości liter w parametrze zapytania API sqlfilters. Uwierzytelniony atakujący może odzyskać chronione pola bazy danych, podając nazwy pól z denylisty wielkimi literami, wykorzystując różnicę między wrażliwym na wielkość liter sprawdzeniem denylisty a niewrażliwym na wielkość liter rozwiązywaniem kolumn.
- CVE-2026-85401Średnie
W Dolibarr do wersji 21.0.4/22.0.5/23.0.3 wykryto podatność w Legacy File Manager, w pliku htdocs/core/filemanagerdol/connectors/php/config.inc.php. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie. Exploit jest publiczny. Aktualizacja do wersji 23.0.4 rozwiązuje problem.
- CVE-2026-82633Średnie
Dolibarr w wersjach od 10.0.0 do przed 24.0.0 nie przeprowadza kontroli autoryzacji per obiekt w punkcie końcowym REST API Users::getGroups, co pozwala uwierzytelnionym użytkownikom na pobieranie członkostw w grupach innych użytkowników. Atakujący mogą wywołać GET /users/{id}/groups z dowolnymi identyfikatorami użytkowników, aby uzyskać nazwy grup, powiązania encji i prywatne notatki ponad granicami dzierżawców.
- CVE-2026-81729Średnie
Dolibarr przed wersją 23.0.4 autoryzuje usuwanie dokumentów przez REST API z użyciem niewłaściwego uprawnienia. Funkcja Documents::delete() wywołuje dol_check_secure_access_document() z trybem 'read' zamiast 'write', co pozwala uwierzytelnionemu użytkownikowi z tylko uprawnieniami do odczytu na trwałe usunięcie dokumentów modułu.
- CVE-2026-81728Wysokie
Dolibarr przed wersją 24.0.0 zawiera podatność na wstrzyknięcie SQL w kreatorze importu CSV i XLSX. Kreator odczytuje klucze aktualizacji przez GETPOST('updatekeys', 'array') w htdocs/imports/import.php, stosując tylko filtr alphanohtml, który nie usuwa słów kluczowych SQL, komentarzy, nawiasów, spacji i cudzysłowów. Funkcja import_insert() w htdocs/core/modules/import/import_csv.modules.php buduje filtr z $where[] = $key.' = '.$data[$key] i wykonuje go przez $this->db->query(), co pozwala na wstrzyknięcie SQL.
Oryginalny opis (angielski, źródło NVD)
Dolibarr 9.0.0 through 23.0.4 saves inbound email attachments under the name supplied in the message's MIME headers without reducing it to a safe basename. The global saveAttachment() in htdocs/emailcollector/lib/emailcollector.lib.php builds $filepath = $path . $filename . '.' . $ext and hands it to file_put_contents(), and the private saveAttachment() in htdocs/emailcollector/class/emailcollector.class.php writes to $destdir.'/'.$filename; the name reaches both from the attachment's own getName() or getFilename() value by way of the record-join, create-ticket and create-project operations. A traversal sequence in the filename therefore survives intact, so any sender who can email a mailbox that an EmailCollector monitors, which is the module's ordinary use for a support or ticket inbox, can place attacker-controlled content outside the per-object attachment directory without holding a Dolibarr account. Under the hardened layout Dolibarr's SECURITY.md requires, with htdocs read-only, the write is confined to the documents tree and corrupts or forges other objects' documents; where htdocs is writable the same primitive reaches a web-executable path. Version 24.0.0 applies dol_sanitizePathName() and dol_sanitizeFileName() before the write.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS