Vulnerability SQL Injection trong WhatsApp for Dolibarr bị khai thác

INCIBE-CERT đã cảnh báo về một lỗ hổng nghiêm trọng trong WhatsApp for Dolibarr, phiên bản 1.9. Kẻ tấn công có thể khai thác lỗ hổng này để truy cập dữ liệu từ cơ sở dữ liệu.

Nội dung chính

• Lỗ hổng CVE-2026-76173 có mã CVSS v4.0 là 8.8, thuộc CWE-89.
• Vulnerability này được phát hiện bởi Gabriel Jesús Machado Tavares.
• WhatsApp for Dolibarr 1.9 có endpoint public/webhook/receiver.php bị ảnh hưởng.
• Một kẻ tấn công có thể thay đổi parámetro data.key.remoteJid để thực hiện inyección SQL.

Chi tiết sự việc

INCIBE-CERT đã công bố một lỗ hổng nghiêm trọng trong WhatsApp for Dolibarr, phiên bản 1.9, một módulo của Dolibarr. Lỗ hổng này được phát hiện bởi Gabriel Jesús Machado Tavares.

Lỗ hổng này có mã CVE-2026-76173, với CVSS v4.0 là 8.8, thuộc CWE-89.

Lỗ hổng SQL Injection ciega xuất hiện trong endpoint public/webhook/receiver.php. Giá trị của số điện thoại được lấy từ parámetro data.key.remoteJid không được xử lý trước khi được sử dụng trong câu truy vấn SQL.

Nếu tùy chọn WHATSAPP_WEBHOOK_ALLOW được kích hoạt, một kẻ tấn công không cần xác thực có thể thay đổi parámetro này để thay đổi câu truy vấn SQL.

Kỹ thuật tấn công dựa trên thời gian có thể cho phép kẻ tấn công truy cập thông tin từ cơ sở dữ liệu và làm giảm hiệu suất dịch vụ.

Nhà sản xuất đã xác nhận rằng bản vá đã được triển khai.

Khuyến nghị

• Cập nhật lên phiên bản mới nhất của WhatsApp for Dolibarr.
• Kiểm tra và tắt tùy chọn WHATSAPP_WEBHOOK_ALLOW nếu không cần thiết.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn INCIBE-CERT (Tây Ban Nha). Vui lòng đối chiếu bài gốc trước khi sử dụng.