- Yama var
- Son 7 gün
- CWE-78
CVE-2026-116219
Dolibarr ERP/CRM'de mysqldump parametresi üzerinden işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Dolibarr ERP/CRM, 24.0.0 sürümünden önceki sürümlerde htdocs/admin/tools/export.php dosyasında işletim sistemi komut enjeksiyonu zafiyeti içerir. Bu zafiyet, kimliği doğrulanmış yöneticilerin restrict_os_commands izin listesini aşmasına olanak tanır. Saldırganlar, izin listesindeki bir temel dosya adının etrafına & karakterleri yerleştirerek komutları zincirleyen bir mysqldump değeri gönderebilir ve böylece web sunucusu kullanıcısı olarak işletim sistemi komutları çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
Dolibarr ERP CRM before 24.0.0 contains an OS command injection vulnerability in htdocs/admin/tools/export.php that lets authenticated administrators bypass the restrict_os_commands allowlist. Attackers can submit a mysqldump value chaining commands with & characters around an allowlisted basename to execute operating system commands as the web server user.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| dolibarr | < 24.0.0 | 24.0.0 |
| 24.0.0 Etkilenmiyor | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/e4c593e0f9f109dd708be0f1d62a51712d36823a Yama
- vulncheck.com/…0-os-command-injection-via-mysqldump-parameter Üçüncü taraf
- github.com/…barr/blob/23.0.3/htdocs/admin/tools/export.php Diğer
- github.com/…/blob/23.0.3/htdocs/core/class/utils.class.php Diğer
- github.com/Dolibarr/dolibarr Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.