CVE-2026-22666 in ERP CRM
Résumé
par VulDB • 12/05/2026
Les versions de Dolibarr ERP/CRM antérieures à la 23.0.2 présentent une vulnérabilité d'exécution de code à distance (RCE) authentifiée dans la fonction dol_eval_standard(), qui ne parvient pas à appliquer les vérifications des chaînes interdites en mode liste blanche et ne détecte pas la syntaxe des appelables dynamiques PHP. Les attaquants disposant de privilèges d'administrateur peuvent injecter des charges utiles malveillantes via les extrafields calculés ou d'autres chemins d'évaluation en utilisant la syntaxe des appelables dynamiques PHP pour contourner la validation et obtenir une exécution de commandes arbitraires via eval().
If you want to get best quality of vulnerability data, you may have to visit VulDB.