- Yama var
- Son 7 gün
- CWE-89
CVE-2026-116218
Dolibarr ERP/CRM'de API bankaccounts type alanında SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Dolibarr ERP CRM 19.0.0 sürümünden 23.0.4 sürümünden önceki sürümlerde SQL enjeksiyonu açığı bulunmaktadır. Bu açık, kimliği doğrulanmış API kullanıcılarının üçüncü taraf bankaccounts REST uç noktasının type alanı üzerinden SQL enjekte etmesine olanak tanır. Yalnızca societe/creer iznine sahip saldırganlar, CompanyBankAccount::create içinde kaçışlanmamış type değerinden çıkarak, zamanlama tabanlı kör alt sorgular aracılığıyla parola özetlerini ve API anahtarlarını okuyabilir.
Kaynaktaki açıklama (İngilizce)
Dolibarr ERP CRM 19.0.0 before 23.0.4 contains an SQL injection vulnerability that allows authenticated API users to inject SQL via the type field of the third-party bankaccounts REST endpoint. Attackers with only societe/creer permission can break out of the unescaped type value in CompanyBankAccount::create() to read password hashes and API keys via time-based blind subqueries.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| dolibarr | ≥ 19.0.0, < 23.0.4 | 23.0.4 |
| 23.0.4 Etkilenmiyor | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/19991c8ffa9b4fd7338b7ef2585fadb554b86735 Yama
- vulncheck.com/…-sql-injection-via-bankaccounts-api-type-field Üçüncü taraf
- github.com/…ocs/societe/class/companybankaccount.class.php Diğer
- github.com/…tdocs/societe/class/api_thirdparties.class.php Diğer
- github.com/Dolibarr/dolibarr Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.