CVE-2026-81728

24.0.0 öncesindeki Dolibarr, CSV ve XLSX içe aktarma sihirbazında bir SQL injection içermektedir. Sihirbaz, güncelleme anahtarlarını htdocs/imports/import.php dosyasındaki GETPOST('updatekeys', 'array') ile okur; bu işlem yalnızca genel alphanohtml filtresini uygular: bu filtre HTML'yi temizler ancak SQL anahtar kelimelerini, yorum işaretlerini, parantezleri, boşlukları ve tırnakları olduğu gibi bırakır. Ardından htdocs/core/modules/import/import_csv.modules.php dosyasındaki import_insert(), gönderilen değerleri yineleyerek önce nokta içermeyen değerlerde etkisiz kalan preg_replace('/^.*\./i', '', $key) takma ad temizleme işlemini uygular ve ardından $where[] = $key.' = '.$data[$key] şeklinde bir filtre oluşturur. Oluşturulan dize $this->db->query() aracılığıyla yürütülür. Enjekte edilen SELECT, içe aktarma işleminin daha sonra $lastinsertid değişkenine atadığı satır kimliğini çözer ve bu değişken sonraki bir UPDATE işleminin WHERE hedefi haline gelir; böylece saldırgan tarafından seçilen bir tam sayı döndüren bir UNION SELECT, hem rastgele tablo içeriğini sızdırır hem de içe aktarmanın hangi satırı üzerine yazacağını yönlendirir; kategori bağlantı tabloları için ham filtre dizisi doğrudan söz konusu UPDATE işlemine eklenir. Arayüz meşru sütun kodlarının sabit bir listesini sunar ancak sunucu gönderilen değerleri hiçbir zaman bu liste ile karşılaştırmaz. İçe aktarma yetkisine sahip bir kullanıcı bunu istismar edebilir. 23.0.4 sürümü düzeltmeyi içermemektedir; izin verilenler listesi (allow-list) testi 24.0.0 sürümünde eklenmiştir.