CVE-2026-76173

SQL Injection trong WhatsApp cho Dolibarr bởi Sgestion / EasySoft

Lỗ hổng SQL Injection trong endpoint public/webhook/receiver.php của module WhatsApp cho Dolibarr 1.9. Số điện thoại được lấy từ parameter `data.key.remoteJid` trong JSON request, được thêm vào một câu SQL không được escape hoặc parameterization. Với tùy chọn WHATSAPP_WEBHOOK_ALLOW được bật, một kẻ tấn công truy cập không xác minh có thể thay đổi parameter này để thay đổi câu SQL. Sử dụng kỹ thuật thời gian-based, có thể cho phép kẻ tấn công thu thập thông tin từ cơ sở dữ liệu và gây ra sự cố dịch vụ.

CNA cấp mã

INCIBE

Ngày công bố

12/11/2026

Cập nhật

12/11/2026

CVSS (NVD)

8.8 · HIGH

Loại lỗi (CWE)

CWE-89

EPSS (FIRST)

0.33% khả năng bị khai thác trong 30 ngày