PT-2026-33504 · Dolibarr · Dolibarr
Lukasz-Rybak
·
Publicado
2026-04-17
·
Atualizado
2026-05-10
·
CVE-2026-23500
CVSS v4.0
9.4
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Name of the Vulnerable Software and Affected Versions
Dolibarr versões anteriores a 23.0.0
Description
O Dolibarr é um pacote de software de planejamento de recursos empresariais (ERP) e gestão de relacionamento com o cliente (CRM). Um administrador autenticado pode obter a execução remota de código como o usuário do servidor web ao injetar comandos arbitrários do sistema operacional na constante de configuração
MAIN ODT AS PDF. Isso ocorre durante o processo de conversão de ODT para PDF em 'odf.php', onde a constante é concatenada diretamente em um comando de shell passado para a função exec() sem a sanitização adequada. Estima-se que aproximadamente 56,8 mil serviços sejam afetados em todo o mundo.Recommendations
Atualizar para a versão 23.0.0.
Como medida paliativa temporária, restrinja o acesso administrativo às configurações da constante
MAIN ODT AS PDF para minimizar o risco de exploração.Correção
RCE
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Dolibarr