Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-33944

Dolibarr üçüncü taraf güncellemesinde SQL enjeksiyonu (lt1/lt2 parametreleri)

dolibarr

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
6 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme giriş yapabilen yetkili kullanıcıların veritabanındaki müşteri, iş ve kimlik bilgilerine erişmesine veya bunları değiştirmesine olanak tanıyabilir. Veri sızıntısı ve kayıt bütünlüğü riski yüksek olduğu için güncelleme öncelikli olarak planlanmalıdır.

ÖzetTürkçe

Dolibarr ERP ve CRM uygulamasındaki üçüncü taraf (şirket) güncelleme işlevi, localtax1_value ve localtax2_value değerlerini sayısal dönüşüm ya da uygun temizleme yapmadan SQL UPDATE sorgusuna ekliyor. 22.0.5 öncesi ve 23.0.1 öncesi sürümler etkilenmektedir. Saldırı için kimlik doğrulaması yapılmış ve üçüncü taraf oluşturma ya da düzenleme yetkisine sahip bir kullanıcı gerekir.

Saldırgan ne yapabilir?

Saldırgan, lt1 veya lt2 POST parametreleri üzerinden veritabanındaki hassas bilgileri, örneğin parola özetlerini, API anahtarlarını ve iş verilerini okuyabilir ya da üçüncü taraf kayıtlarını değiştirebilir.

Kaynaktaki açıklama (İngilizce)

Dolibarr is an open-source enterprise resource planning and customer relationship management application. Prior to 22.0.5 and 23.0.1, there is a SQL injection vulnerability in the Third Party company update functionality. The application concatenates the  localtax1_value  and  localtax2_value  properties into an SQL UPDATE statement without numeric conversion or other appropriate sanitization. An authenticated user with Third Party create or edit permission can submit crafted  lt1  or  lt2  POST parameters to read sensitive database information, including password hashes, API keys, and business data, or modify third-party records. This issue is fixed in versions 22.0.5 and 23.0.2.

Ne yapmalı?

  1. 22.x sürüm dalını kullananlar Dolibarr'ı 22.0.5 sürümüne yükseltmelidir. Üretici
  2. 23.x sürüm dalını kullananlar Dolibarr'ı 23.0.2 sürümüne yükseltmelidir. Üretici
  3. Güncelleme yapılana kadar üçüncü taraf oluşturma ve düzenleme yetkilerini yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri
  4. Veritabanı ve uygulama günlüklerinde lt1 veya lt2 parametreleriyle yapılan şüpheli istekleri inceleyin; istismar izi bulunursa parolaları ve API anahtarlarını değiştirin. Genel öneri

Ek önlemler

  • Uygulamanın veritabanı kullanıcısına yalnızca gerekli izinleri verin ve uygulamayı yönetici yetkileriyle çalıştırmaktan kaçının. Genel öneri
  • Web sunucusu ve uygulama erişim günlüklerini düzenli izleyin, olağandışı POST isteklerini uyarı olarak işaretleyin. Genel öneri
  • Yetkili hesaplarda güçlü parola politikası ve çok faktörlü doğrulama kullanın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
dolibarr < 22.0.5 22.0.5

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.