Platform
php
Component
dolibarr
Opgelost in
8.0.5
8.0.5
CVE-2019-25710 identificeert een SQL injection kwetsbaarheid in Dolibarr ERP-CRM versie 8.0.4. Deze kwetsbaarheid stelt aanvallers in staat om willekeurige SQL queries uit te voeren door de 'rowid' parameter in het admin dict.php endpoint te manipuleren. Het misbruik van deze kwetsbaarheid kan leiden tot het extraheren van gevoelige database informatie. Er is momenteel geen officiële patch beschikbaar.
CVE-2019-25710 in Dolibarr ERP-CRM 8.0.4 vormt een aanzienlijk beveiligingsrisico. Het is een SQL-injectie kwetsbaarheid in de 'rowid' parameter van de 'dict.php' endpoint in het administratiegedeelte. Een aanvaller kan dit misbruiken door kwaadaardige SQL-code via de 'rowid' POST-parameter in te spuiten. Dit maakt de uitvoering van willekeurige SQL-query's mogelijk, wat kan leiden tot de extractie van gevoelige database-informatie, zoals gebruikersinloggegevens, financiële gegevens of vertrouwelijke klantgegevens. Het ontbreken van een officiële fix (fix: none) verergert de situatie, waardoor onmiddellijke mitigerende maatregelen noodzakelijk zijn om Dolibarr-systemen te beschermen.
De kwetsbaarheid wordt uitgebuit via de 'dict.php' endpoint in het administratiegebied van Dolibarr. Een aanvaller kan een gemanipuleerde POST-verzoek naar de endpoint sturen, waarbij kwaadaardige SQL-code binnen de 'rowid' parameter wordt opgenomen. De geïnjecteerde SQL-code wordt uitgevoerd in de context van de Dolibarr-database, waardoor de aanvaller gegevens kan benaderen of wijzigen. Exploitatie is gebaseerd op foutgebaseerde SQL-injectietechnieken, waarbij de aanvaller databasefouten benut om informatie te extraheren. Het ontbreken van de juiste authenticatie of autorisatie op de 'dict.php' endpoint vergemakkelijkt de exploitatie, aangezien een aanvaller deze mogelijk kan benaderen zonder geldige inloggegevens.
Organizations utilizing Dolibarr ERP-CRM version 8.0.4, particularly those handling sensitive financial or customer data, are at significant risk. Shared hosting environments where multiple users share the same database instance are especially vulnerable, as a compromise of one user's account could potentially expose data for other users.
• php / web:
grep -r "dict.php?rowid=" /var/www/dolibarr/*• generic web:
curl -I http://your-dolibarr-instance/dict.php?rowid=1' UNION SELECT 1,version(),user() -- -disclosure
Exploit Status
EPSS
0.03% (8% percentiel)
CVSS-vector
Gezien het ontbreken van een officiële fix voor CVE-2019-25710, richt de mitigatie zich op preventieve en restrictieve maatregelen. Het wordt ten zeerste aanbevolen om te upgraden naar een Dolibarr-versie die deze kwetsbaarheid aanpakt (indien beschikbaar). In de tussentijd moeten strenge toegangscontroles worden geïmplementeerd om te beperken wie toegang heeft tot de 'dict.php' endpoint. Strenge validatie en sanitatie van alle gebruikersinvoer, met name de 'rowid' parameter, is cruciaal. Controleer regelmatig de systeemlogboeken op verdachte activiteiten die een poging tot exploitatie kunnen aangeven. Overweeg het inzetten van een Web Application Firewall (WAF) voor een extra beveiligingslaag.
Werk Dolibarr ERP-CRM bij naar een verbeterde versie. Raadpleeg de Dolibarr-pagina voor informatie over beschikbare updates en migratie-instructies. Zorg ervoor dat u een back-up van uw database maakt voordat u een update toepast.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Het betekent dat de Dolibarr-leverancier geen officiële update heeft uitgebracht om deze kwetsbaarheid te verhelpen.
Implementeer de beschreven mitigerende maatregelen, zoals strenge toegangscontroles, invoervalidatie en logboekmonitoring.
Ja, als de 'dict.php' endpoint toegankelijk is vanaf het internet, kan de kwetsbaarheid op afstand worden uitgebuit.
Alle gegevens die zijn opgeslagen in de Dolibarr-database, waaronder gebruikersinloggegevens, financiële gegevens en klantgegevens.
Een Web Application Firewall (WAF) is een beveiligingstool die HTTP-verkeer filtert en aanvallen zoals SQL-injectie kan blokkeren.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.