CVE-2026-110874

Nome do Software Vulnerável e Versões Afetadas Dolibarr versões anteriores a 23.0.4

Description Um problema de injeção de objeto PHP existe na função jsonOrUnserialize() em functions.lib.php. O problema ocorre quando o json decode() falha, levando o sistema a chamar o unserialize() sem restrições de classe. Atacantes que consigam gravar extrafields armazenados, configurações de exportação ou entradas de log bloqueadas podem injetar objetos serializados para acionar gadget chains, resultando potencialmente em execução remota de código ou manipulação não autorizada de arquivos.

Recommendations Atualize para a versão 23.0.4 ou posterior. Como mitigação temporária, restrinja as permissões para evitar a gravação não autorizada em extrafields, configurações de exportação e entradas de log.