CVE-2019-25450

Nome do Software Vulnerável e Versões Afetadas Dolibarr ERP/CRM versão 10.0.1

Descrição O software contém múltiplas vulnerabilidades de injeção de SQL. Atacantes autenticados podem manipular consultas ao banco de dados injetando código SQL por meio de parâmetros POST. Os atacantes podem injetar SQL malicioso através de parâmetros como actioncode, demand reason id e availability id no endpoint da API /card.php para extrair informações sensíveis do banco de dados utilizando técnicas de injeção cega baseada em booleanos, baseada em erros e cega baseada em tempo.

Recomendações Atualize para uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida temporária, restrinja o acesso ao endpoint /card.php para minimizar o risco de exploração. Evite o uso dos parâmetros actioncode, demand reason id e availability id no endpoint da API afetado até que o problema seja resolvido.