CVE-2026-58376

Nome do Software Vulnerável e Versões Afetadas Dolibarr versões anteriores a 23.0.3

Descrição Usuários autenticados de API podem exfiltrar conteúdos arbitrários do banco de dados, incluindo hashes de senhas e chaves de API, por meio de uma injeção de SQL. O problema ocorre quando valores maliciosos são fornecidos ao parâmetro de consulta sqlfilters nos endpoints de API REST 'setup' e 'multicurrencies'. O processo de validação em api setup.class.php e api multicurrencies.class.php verifica apenas o equilíbrio de parênteses e reescreve tripletos correspondentes, permitindo que invasores anexem uma instrução UNION SELECT à cláusula SQL WHERE sem modificações.

Recomendações Atualize para a versão que contém o commit 14db36e. Como medida de mitigação temporária, restrinja o acesso ao parâmetro sqlfilters nos endpoints de API REST 'setup' e 'multicurrencies'.