Dolibarr ERP/CRM: OS-Command-Injection über den mysqldump-Parameter
Zusammenfassung
Dolibarr ERP/CRM vor 24.0.0 enthält eine OS-Command-Injection-Schwachstelle im Datenbank-Export-Werkzeug (htdocs/admin/tools/export.php). Ein authentifizierter Administrator kann die restrict_os_commands-Allowlist umgehen, indem er einen mysqldump-Wert übergibt, der Befehle mit &-Zeichen um einen erlaubten Basisnamen verkettet. Bei erfolgreicher Ausnutzung führt er Betriebssystembefehle als Benutzer des Webservers aus.
Betroffen
- Dolibarr ERP/CRM Versionen 0 bis vor 24.0.0
- Betroffen sind auch 23.x-Versionen (keine Backport-Korrektur für 23.x bestätigt)
Behoben in
- Behoben in Dolibarr ERP/CRM 24.0.0
- Empfohlen: neueste 24.x-Version (CVE-2026-118754 ist in 24.0.2 behoben)
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt.
- Den Zugriff auf den /admin-Bereich auf vertrauenswürdige Netze oder ein VPN beschränken.
Ausnutzung
- Erfordert Administratorrechte (PR:H).
- Kein öffentlicher Proof of Concept gefunden.
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA KEV-Katalog gelistet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Dolibarr auf 24.0.0 oder neuer aktualisieren, vorzugsweise auf die neueste 24.x-Version.
- Starke, eindeutige Administratorpasswörter und wo möglich MFA durchsetzen sowie bestehende Admin-Konten überprüfen.
- Zugriff auf die Dolibarr-Admin-Seiten auf vertrauenswürdige Netze beschränken.
- Webserver- und Datenbank-Hosts auf unerwartete Prozesse oder Dateien prüfen.
- Bei Installation über ein Ubuntu- oder anderes Distributionspaket den Security-Tracker der Distribution auf ein korrigiertes Paket prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Fix commit github.com
- Vulnerable code at tag 23.0.3 github.com
- Ubuntu CVE tracker ubuntu.com
- OffSeq radar entry radar.offseq.com
- HOL Guard CVE entry hol.org
- Strix CVE entry www.strix.ai
- Dolibarr GitHub repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:07.
Referenzen der NVD (5)
- https://github.com/Dolibarr/dolibarr
- https://github.com/Dolibarr/dolibarr/blob/23.0.3/htdocs/admin/tools/export.php#L129-L154
- https://github.com/Dolibarr/dolibarr/blob/23.0.3/htdocs/core/class/utils.class.php#L322-L327
- https://github.com/Dolibarr/dolibarr/commit/e4c593e0f9f109dd708be0f1d62a51712d36823a
- https://www.vulncheck.com/advisories/dolibarr-erp-crm-before-24.0.0-os-command-injection-via-mysqldump-parame…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.