CVE-2026-33944
Dolibarr: SQL Injection in societe/class/societe.class.php via localtax1_value parameter
CVSS 3.1Medium
8.8/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите Dolibarr до версии 22.0.5 или 23.0.2.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В функциональности обновления контрагентов Dolibarr обнаружена SQL-инъекция. Аутентифицированный пользователь с правами создания или редактирования контрагентов может прочитать или изменить данные в СУБД.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Свойства localtax1_value и localtax2_value объединяются в SQL-запрос UPDATE без числового преобразования или санитизации в societe/class/societe.class.php. Уязвимость эксплуатируется через передачу сформированных POST-параметров lt1 или lt2.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Чтение конфиденциальных данных из базы (хэшей паролей, API-ключей, бизнес-данных) и изменение записей контрагентов.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/Dolibarr/dolibarr/security/advisories/GHSA-v5fq-cf5m-vwv7
- github.comhttps://github.com/Dolibarr/dolibarr/pull/37632
- github.comhttps://github.com/Dolibarr/dolibarr/commit/a06b14b7dc39d33f8fa00c9b27f2913b494885cb
- github.comhttps://github.com/Dolibarr/dolibarr/commit/c83c13305240c2c0a3779e678b57238b32d15e7c
- github.comhttps://github.com/Dolibarr/dolibarr/releases/tag/22.0.5
- github.comhttps://github.com/Dolibarr/dolibarr/releases/tag/23.0.2
- www.sec4check.plhttps://www.sec4check.pl/blog/posts/cve-dolibarr-sql-injection-localtax-third-party.html
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-33944: Dolibarr: SQL Injection in societe/class/societe.class.php via localtax1_value parameter. URL: https://cve.futuretools.ru/cve/CVE-2026-33944
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_33944,
title = {{CVE-2026-33944: Dolibarr: SQL Injection in societe/class/societe.class.php via localtax1_value parameter}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-33944}},
note = {Оперативный инженерный анализ киберугроз}
}