- Un proof-of-concept permet à un utilisateur authentifié de contourner une liste d’interdiction sensible et d’extraire des hachages de mots de passe dans Dolibarr 24.0.0, corrigé dans la version 24.0.1.
Ce qu’il faut savoir
Un proof-of-concept (PoC) publié cette semaine détaille une vulnérabilité affectant le logiciel de gestion Dolibarr dans sa version 24.0.0. Répertoriée sous le numéro CVE-2026-89012, cette faille permet à un utilisateur authentifié disposant d’un jeton API valide avec les droits "users-lire" d’accéder à des champs normalement protégés, notamment les hachages de mots de passe.
Contournement d’une liste d’interdiction sensible
La faille réside dans la fonction forgeSQLFromUniversalSearchCriteria, introduite dans le cadre du correctif CVE-2026-71510. Cette fonction utilise une liste d’interdiction (denylist) sensible à la casse pour filtrer les champs SQL interdits. Cependant, le jeu de caractères autorisé dans les opérandes inclut les lettres majuscules (A-Z), tandis que la résolution des colonnes SQL est insensible à la casse. Un attaquant peut ainsi soumettre une requête utilisant t.PASSCRYPTED au lieu de t.passcrypted, contournant ainsi la liste d’interdiction.
Extraction de hachages via une oracle booléenne aveugle
En combinant cette faille avec des prédicats LIKE préfixés, l’attaquant transforme le paramètre sqlfilters en une oracle booléenne aveugle. Cette configuration permet de récupérer progressivement les hachages de mots de passe caractère par caractère. Le PoC fournit également des scripts Python automatisant l’exploitation, y compris la détection de comptes utilisateurs lisibles, l’extraction des champs passcrypted pour tous les utilisateurs, et ciblant spécifiquement un compte administrateur.
Impact et versions concernées
Selon les sources de sécurité consultées, la faille expose plusieurs champs sensibles : passcrypted, apikey, pass, passtemp et openid. La version affectée est Dolibarr 24.0.0, corrigée dès la version 24.0.1. L’exploitation nécessite toutefois un accès préalable via un jeton API valide, limitant ainsi le champ des victimes potentielles à des utilisateurs internes ou ayant accédé à de manière non autorisée à un tel jeton.
Recommandations
Les administrateurs utilisant Dolibarr 24.0.0 sont invités à appliquer immédiatement la mise à jour vers la version 24.0.1. Il est également recommandé de révoquer tous les jetons API existants et de surveiller les journaux d’accès à la recherche d’activités suspectes liées aux endpoints utilisateurs.
Chronologie
2 sources
Cette synthèse rapproche plusieurs sources et est présentée dans la langue de cette édition. Langue source : EN.