CVE-2026-81728

Nome do Software Vulnerável e Versões Afetadas Dolibarr versões anteriores a 24.0.0

Description Uma injeção de SQL existe no assistente de importação CSV e XLSX. O problema ocorre porque o assistente lê as chaves de atualização usando a função GETPOST('updatekeys','array') em htdocs/imports/import.php, aplicando apenas um filtro que remove HTML, mas mantém palavras-chave SQL, aspas e parênteses intactos. Posteriormente, a função import insert() em htdocs/core/modules/import/import csv.modules.php constrói um filtro onde a variável $where[] é montada usando as chaves enviadas sem a devida validação contra uma lista legítima de códigos de coluna. Isso permite que um usuário com permissões de importação utilize uma instrução UNION SELECT para exfiltrar conteúdo arbitrário de tabelas ou redirecionar qual linha é sobrescrita durante uma atualização. A vulnerabilidade é acionada quando a string montada é executada via $this->db->query().

Recommendations Atualize para a versão 24.0.0 ou posterior. Como medida de mitigação temporária, restrinja as permissões de importação apenas a usuários confiáveis.