PT-2026-39008 · Dolibarr · Dolibarr

Publicado 2026-05-08 · Atualizado 2026-05-12 · CVE-2025-67486

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Dolibarr versões 22.0.2 e anteriores

Description Um problema de execução remota de código autenticada existe na funcionalidade de campos extras de usuário deste software ERP e CRM. A entrada controlada pelo usuário do campo "computed value" é passada para a função eval() do PHP sem a sanitização adequada, o que permite que administradores autenticados executem código PHP arbitrário no servidor.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

RCE

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2025-67486

Produtos afetados

Dolibarr

Referências · 5

• 🔥 https://medium.com/@abduxalilovjavohir/dolibarr-erp-authenticated-remote-code-execution-via-eval-injection-in-user-extrafields-dfc305d0118e · Exploit
• https://github.com/Dolibarr/dolibarr/blob/22.0.2/htdocs/core/lib/functions.lib.php · Correção
• https://t.me/cveNotify/163292 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-67486 · Nota de Segurança
• https://twitter.com/CVEnew/status/2052767655741034714 · Publicação no Twitter