Dolibarr - это пакет программного обеспечения для планирования ресурсов предприятия (ERP) и управления взаимоотношениями с клиентами (CRM).…
Dolibarr - это пакет программного обеспечения для планирования ресурсов предприятия (ERP) и управления взаимоотношениями с клиентами (CRM). В версиях 22.0.4 и ранее в базовой конечной точке AJAX /core/ajax/selectobject.php есть уязвимость локального включения файлов (LFI). Манипулируя параметром Objectdesc и используя отказоустойчивый логический недостаток в функции контроля доступа ядра ограниченнойArea(), аутентифицированный пользователь без конкретных привилегий может читать содержимое произвольных файлов, не относящихся к PHP, на сервере (например, .env, .htaccess, резервные копии конфигурации или журналы ...). На момент публикации нет общедоступных патчей.
PHP-приложение получает входные данные от вышестоящего компонента, однако не ограничивает или некорректно ограничивает эти данные перед их использованием в функциях «require», «include» или аналогичных.
https://cwe.mitre.org/data/definitions/98.html →Открыть в коллекции CWE →В данном шаблоне злоумышленник способен загружать и выполнять произвольный код, удалённо доступный из приложения. Обычно это достигается через небезопасно настроенную среду выполнения PHP и ненадлежащим образом санированный вызов "include" или "require", который пользователь может затем контролировать, направляя его на любой файл, доступный через веб. Это позволяет злоумышленникам захватывать целевое приложение и принуждать его выполнять их собственные инструкции.
https://capec.mitre.org/data/definitions/193.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| Отслеживается | ||
| dolibarr | Отслеживается | |
| dolibarr_erp/crm | * | Отслеживается |