Podatności Dolibarr

W Dolibarr w wersji 16 przed 16.0.5 występuje problem, który pozwala nieautoryzowanym atakującym na wykonanie zrzutu bazy danych oraz dostęp do pełnych informacji o klientach, potencjalnych klientach, dostawcach i pracownikach, jeśli istnieje plik kontaktowy.

W podatności CVE-2017-14242 występuje luka typu SQL injection w pliku don/list.php w wersji 6.0.0 systemu Dolibarr, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr statut.

Dolibarr do wersji 23.0.2 zawiera podatność w nieznanej funkcji pliku htdocs/document.php w komponencie CSP. Manipulacja prowadzi do awarii mechanizmu ochrony, a atak można wykonać zdalnie.

Dolibarr w wersji przed 23.0.4 zawiera podatność typu PHP object injection w funkcji jsonOrUnserialize() w pliku functions.lib.php, która wywołuje unserialize() bez ograniczeń klas, gdy json_decode() zawiedzie. Atakujący mogący zapisywać przechowywane extrafields, konfiguracje eksportu lub zablokowane wpisy logów może umieścić serializowane obiekty wywołujące łańcuchy gadżetów prowadzące do wykonania kodu lub manipulacji plikami.

Dolibarr w wersji od 23.0.4 do 24.0.1 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików poprzez podanie spreparowanej wartości parametru hashp. Atakujący może użyć hashp=shared, aby pominąć walidację tokenu i uzyskać dostęp do logów, dokumentów biznesowych, kopii zapasowych bazy danych i plików innych jednostek.

Dolibarr 24.0.0 przed 24.0.1 zawiera podatność obejścia denylisty zależną od wielkości liter w parametrze zapytania API sqlfilters. Uwierzytelniony atakujący może odzyskać chronione pola bazy danych, podając nazwy pól z denylisty wielkimi literami, wykorzystując różnicę między wrażliwym na wielkość liter sprawdzeniem denylisty a niewrażliwym na wielkość liter rozwiązywaniem kolumn.

W Dolibarr do wersji 21.0.4/22.0.5/23.0.3 wykryto podatność w Legacy File Manager, w pliku htdocs/core/filemanagerdol/connectors/php/config.inc.php. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie. Exploit jest publiczny. Aktualizacja do wersji 23.0.4 rozwiązuje problem.

Dolibarr w wersjach od 10.0.0 do przed 24.0.0 nie przeprowadza kontroli autoryzacji per obiekt w punkcie końcowym REST API Users::getGroups, co pozwala uwierzytelnionym użytkownikom na pobieranie członkostw w grupach innych użytkowników. Atakujący mogą wywołać GET /users/{id}/groups z dowolnymi identyfikatorami użytkowników, aby uzyskać nazwy grup, powiązania encji i prywatne notatki ponad granicami dzierżawców.

Dolibarr w wersjach od 9.0.0 do 23.0.4 zapisuje załączniki przychodzących wiadomości e-mail pod nazwą pochodzącą z nagłówków MIME bez redukcji do bezpiecznej nazwy bazowej. Funkcje saveAttachment() w htdocs/emailcollector/lib/emailcollector.lib.php oraz w htdocs/emailcollector/class/emailcollector.class.php budują ścieżkę pliku z nazwy załącznika, która może zawierać sekwencje przejść ścieżek, co pozwala na zapis treści poza katalogiem docelowym.

Dolibarr przed wersją 23.0.4 autoryzuje usuwanie dokumentów przez REST API z użyciem niewłaściwego uprawnienia. Funkcja Documents::delete() wywołuje dol_check_secure_access_document() z trybem 'read' zamiast 'write', co pozwala uwierzytelnionemu użytkownikowi z tylko uprawnieniami do odczytu na trwałe usunięcie dokumentów modułu.

Dolibarr przed wersją 24.0.0 zawiera podatność na wstrzyknięcie SQL w kreatorze importu CSV i XLSX. Kreator odczytuje klucze aktualizacji przez GETPOST('updatekeys', 'array') w htdocs/imports/import.php, stosując tylko filtr alphanohtml, który nie usuwa słów kluczowych SQL, komentarzy, nawiasów, spacji i cudzysłowów. Funkcja import_insert() w htdocs/core/modules/import/import_csv.modules.php buduje filtr z $where[] = $key.' = '.$data[$key] i wykonuje go przez $this->db->query(), co pozwala na wstrzyknięcie SQL.

Dolibarr w wersjach od 21.0.0 do 24.0.0 zawiera podatność na obejście autoryzacji spowodowaną odwróconym warunkiem logicznym w sprawdzaniu członkostwa w prywatnym projekcie w handlerze akcji masowych clonetasks w pliku htdocs/core/actions_massactions.inc.php. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia projektów, ale bez dostępu do docelowego prywatnego projektu, mogą wykorzystać błędne sprawdzenie !in_array() do klonowania zadań do nieautoryzowanych prywatnych projektów.

Dolibarr przed wersją 24.0.0 zawiera podatność na ujawnienie wrażliwych danych w REST API modułu Members. Uwierzytelniony atakujący z uprawnieniami odczytu członków może pobrać weryfikatory haseł bcrypt, odwołując się do endpointów członków. Pola weryfikatorów nie są filtrowane przez serializer API ani klasę Members API, co umożliwia ataki offline na hasła.

Dolibarr przed wersją 24.0.0 zawiera podatność na wstrzykiwanie SQL w REST API użytkowników. Uwierzytelniony atakujący z uprawnieniami odczytu użytkowników może wyodrębnić wrażliwe dane, wstawiając niesanityzowane parametry filtrów do klauzul WHERE bez ograniczeń kolumn. Atakujący mogą przeprowadzić wyszukiwanie binarne na polach numerycznych i iterację prefiksów LIKE na polach tekstowych, aby odzyskać dane płacowe i weryfikatory haseł, a surowe błędy bazy danych umożliwiają enumerację nazw kolumn.

Dolibarr przed wersją 24.0.0 zawiera podatność na niewłaściwą autoryzację w punkcie końcowym aktualizacji REST API raportów wydatków. Uwierzytelniony atakujący z uprawnieniami do tworzenia wydatków może ominąć proces zatwierdzania, bezpośrednio ustawiając pola statusu zatwierdzenia i tożsamości zatwierdzającego. Atakujący mogą manipulować polami stanu przepływu pracy, aby przesunąć raporty wydatków do statusu zatwierdzonego lub zamkniętego bez posiadania dedykowanego uprawnienia do zatwierdzania, tworząc również niespójności kryminalistyczne w rekordach audytu z powodu braku znaczników czasu zatwierdzenia.

Dolibarr przed wersją 24.0.0 zawiera podatność na niewłaściwą autoryzację w punkcie końcowym aktualizacji REST API użytkowników. Atakujący z uprawnieniami do zapisu użytkowników mogą modyfikować pola płacowe, wykorzystując niekompletną listę zabronionych poświadczeń, która pomija kolumny płacowe. Atakujący mogą przepisać pensję, bonus, stawkę godzinową, stawkę dzienną i tygodniowe godziny dla dowolnego użytkownika bez posiadania uprawnień do płac, a zmodyfikowane wartości pojawiają się w raportach eksportu płac.

Dolibarr przed wersją 24.0.0 zawiera podatność na zepsutą autoryzację na poziomie obiektu w trasach zapisu kont bankowych firm w REST API. Uwierzytelniony atakujący z uprawnieniami do tworzenia podmiotów trzecich może tworzyć, zastępować lub usuwać dane kont bankowych dowolnej firmy bez wymaganego dostępu do odczytu tej firmy. Atakujący mogą wstrzykiwać kontrolowane przez siebie numery IBAN jako konta wierzycieli, które są następnie zapisywane w generowanych plikach SEPA, przekierowując płatności wychodzące na konta atakującego.

Dolibarr przed wersją 24.0.0 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym REST API do usuwania płatności, która pozwala uwierzytelnionym atakującym z uprawnieniami do usuwania faktur na trwałe usunięcie dowolnego rekordu płatności, omijając sprawdzanie uprawnień do wystawiania płatności. Atakujący mogą wyzerować kwoty płatności na fakturach i usunąć wpisy z eksportów księgowych, powodując utratę integralności danych finansowych.

Dolibarr przed wersją 24.0.0 zawiera podatność uszkodzonej autoryzacji na poziomie obiektu w trasach zapisu kont stron trzecich w REST API, która pozwala uwierzytelnionym atakującym z uprawnieniami do tworzenia stron trzecich na nadpisanie hasła WebPortal dowolnej firmy, omijając kontrole dostępu per obiekt, które są egzekwowane tylko na trasach odczytu. Atakujący mogą zastąpić hasło WebPortal ofiary, uwierzytelnić się jako ta firma i uzyskać dostęp do jej danych faktur, a także uzyskać poprzedni weryfikator hasła z odpowiedzi API.

Dolibarr przed wersją 24.0.0 zawiera podatność nieprawidłowej autoryzacji w API REST dla członków, która pozwala atakującemu z uprawnieniami tylko do tworzenia członków na zresetowanie hasła dowolnego konta użytkownika, w tym administratora systemu, bez weryfikacji uprawnień do zmiany hasła. Atakujący może podać identyfikator konta i nowe hasło w treści żądania, aby nadpisać dane uwierzytelniające i natychmiast zablokować prawowitego właściciela konta.

Dolibarr przed wersją 24.0.0 zawiera podatność na odzwierciedlone ataki XSS w szablonie administracji pól dodatkowych, gdzie parametr typu żądania jest wypisywany bez kodowania kontekstu JavaScript w bloku skryptu inline i nie jest emitowany nagłówek Content-Security-Policy. Nieuwierzytelniony atakujący może spowodować, że uwierzytelniony administrator otworzy spreparowany URL, aby wykonać dowolny JavaScript w tej sesji i utworzyć trwałe konto administratora.

W Dolibarr do wersji 23.0.4 zidentyfikowano słabość w pliku htdocs/user/card.php w komponencie Account Handler. Manipulacja argumentem ID powoduje nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 24.0.0 łagodzi problem.

W Dolibarr do wersji 23.0.3 wykryto podatność na wstrzyknięcie LDAP w funkcji klonowania użytkownika w pliku htdocs/user/card.php. Manipulacja argumentem ID umożliwia zdalny atak. Exploit został opublikowany i może być wykorzystany. Zalecane jest zastosowanie poprawki.

W Dolibarr do wersji 23.0.3 (załatanym w commicie 14db36e) wykryto podatność na iniekcję SQL. Uwierzytelnieni użytkownicy API mogą wyodrębnić dowolne dane z bazy, podając złośliwe wartości w parametrze sqlfilters w endpointach REST API dla słowników i walut wielowalutowych.

Dolibarr w wersjach 22.0.4 i wcześniejszych zawiera podatność na lokalne dołączanie plików (LFI) w punkcie końcowym /core/ajax/selectobject.php. Uwierzytelniony użytkownik bez specjalnych uprawnień może odczytać zawartość dowolnych plików niebędących PHP, takich jak .env, .htaccess, kopie konfiguracji czy logi.