CVE-2026-89013

सारांश

Dolibarr 23.0.4 से पहले 24.0.1 में एक प्राधिकरण बायपास भेद्यता है जो अप्रमाणित हमलावरों को एक तैयार किए गए hashp पैरामीटर मान की आपूर्ति करके दस्तावेज़ भंडारण एंडपॉइंट के माध्यम से मनमानी फ़ाइलों को पढ़ने की अनुमति देती है। हमलावर hashp=shared के साथ एक अनुरोध भेज सकते हैं ताकि htdocs/document.php और htdocs/viewimage.php में प्राधिकरण शर्त को पूरा करते हुए टोकन सत्यापन को छोड़ सकें, जिससे एप्लिकेशन लॉग, अपलोड किए गए व्यावसायिक दस्तावेज़, पासवर्ड हैश वाले डेटाबेस बैकअप, और अन्य मल्टीकंपनी संस्थाओं से संबंधित फ़ाइलों तक पहुंच प्राप्त होती है।

• CVE-2026-89013एक्सप्लॉइट

  CVE-2026-89013 के लिए Python exploit, जो एक unauthenticated Dolibarr hashp authorization bypass है और arbitrary file read को सक्षम बनाता है, जिसमें check, list, hunt, read, और download मोड हैं।