CVE-2026-78804_Dolibarr_authenticated_SQL_injection

各倉庫の在庫アラート閾値（`seuil_stock_alerte`）を設定するアクションは、ユーザー制御の入力を受け取り、その後、適切な数値キャストやパラメータバインディングなしにSQLクエリへ組み込んでいます。 #dolibarr #exploit

値がクォートされていない数値コンテキストに挿入されるため、通常の数値の代わりにSQL式を指定できる。

時間ベースのブラインドSQLインジェクション

ブール値/時間ベースの式で実行を実証するのに十分である:

パラメータの例:

リクエストが成功すると、HTTPレスポンスに約15秒の遅延が発生し、注入されたSQL式が評価されたことが確認される。

脆弱なリクエスト

脆弱なアクションは、以下のような認証済みリクエストで到達できる:

必要条件:

• 有効な認証済みセッション
• CSRFトークン (製品カードページから抽出)
• 製品ID
• 倉庫ID

認証と権限

この問題は、以下の権限のみを持つ認証済みアカウントで再現された:

権限 — 製品を作成できる低権限アカウント。

影響

このSQLインジェクションにより以下が可能になる:

1. 時間ベースのブラインドSQLインジェクション — SLEEP遅延を通じてクエリを実行できる
2. 情報漏洩 — データベースの内容を1文字ずつ窃取できる
3. 潜在的な権限昇格 — 管理者認証情報や機密データの抽出
4. データベース偵察 — エラーまたは時間ベースの手法によるスキーマ列挙

このシステムのデータベースレベルの制約により、直接的なOSコマンド実行は防止された。

エクスプロイトツール

付属のPoCスクリプト stock_sqli_poc.py はエクスプロイトプロセスを自動化する:

使用方法

機能

• 自動ログイン — ターゲットに対して認証を行う
• インジェクション確認 — テストペイロード (1=1 対 1=2) でSQLインジェクションを検証する
• 二分探索抽出 — ASCII比較を使用してデータを1文字ずつ効率的に抽出する
• プロキシサポート — Burp Suiteやその他のHTTPプロキシと統合する
• 設定可能な遅延 — 信頼性のためにSLEEP時間を調整する

コマンドラインオプション

抽出例

管理者パスワードハッシュを抽出:

ユーザーを列挙:

データベースバージョン:

現在のデータベースユーザー:

⚠️ 法的通知: このエクスプロイトは、明示的な書面による許可を得たシステムに対してのみ使用してください。コンピュータシステムへの不正アクセスは違法です。このPoCは教育および許可されたセキュリティテスト目的でのみ提供されています。