Dolibarr 存在 sql 注入漏洞

漏洞描述

Dolibarr 是一个面向企业的开源的 ERP 和 CRM 。

Dolibarr 在 16.0.1 和 16.0.2 版本中存在 sql 注入漏洞，原因是 website.lib.php 中没有对 sql 语句进行有效转义，攻击者可利用此漏洞通过发送“/search.php?s=payload”的get请求进行 sql 注入，从而获取 Dolibarr 系统数据库中的敏感信息。

漏洞名称	Dolibarr 存在 sql 注入漏洞
漏洞类型	SQL注入
发现时间	2022-11-21
漏洞影响广度	极小
MPS编号	MPS-2022-64765
CVE编号	CVE-2022-4093
CNVD编号	-

影响范围

Dolibarr/dolibarr@[16.0.1, 16.0.3)

修复方案

升级Dolibarr/dolibarr到 16.0.3 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-64765

https://nvd.nist.gov/vuln/detail/CVE-2022-4093

https://github.com/dolibarr/dolibarr/commit/7c1eac9774bd1fed0b7b4594159f2ac2d12a4011

https://huntr.dev/bounties/677ca8ee-ffbc-4b39-b294-2ce81bd56788/

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc