حقن SQL في Dolibarr ERP CRM 19.0.0 قبل الإصدار 23.0.4 عبر حقل النوع في واجهة برمجة التطبيقات bankaccounts

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Dolibarr ERP CRM 19.0.0 قبل الإصدار 23.0.4 على ثغرة حقن SQL تسمح لمستخدمي واجهة برمجة التطبيقات المصادق عليهم بحقن SQL عبر حقل النوع لنقطة نهاية REST الخاصة بـ bankaccounts التابعة لجهة خارجية. يمكن للمهاجمين الذين يمتلكون إذن societe/creer فقط الخروج من قيمة النوع غير المهربة في CompanyBankAccount::create() قراءة تجزئات كلمات المرور ومفاتيح واجهة برمجة التطبيقات عبر الاستعلامات الفرعية العميقة المستندة إلى الوقت.

المعالجة

1. أحصِ جميع نشرات Dolibarr dolibarr، بما فيها بيئات الاختبار.
2. رقِّ Dolibarr dolibarr إلى الإصدار 23.0.4.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/Dolibarr/dolibarr/commit/19991c8ffa9b4fd7338b7ef2585fadb554b86735
• تحذيرhttps://www.vulncheck.com/advisories/dolibarr-erp-crm-19.0.0-before-23.0.4-sql-injection-via-bankaccounts-api-type-field
• مرجعhttps://github.com/Dolibarr/dolibarr
• مرجعhttps://github.com/Dolibarr/dolibarr/blob/23.0.3/htdocs/societe/class/api_thirdparties.class.php#L1852
• مرجعhttps://github.com/Dolibarr/dolibarr/blob/23.0.3/htdocs/societe/class/companybankaccount.class.php#L399