CVE-2026-81730 in Dolibarr
Riassunto
di VulDB • 28/08/2026
Dolibarr dalle versioni 9.0.0 alla 23.0.4 salva gli allegati delle email in entrata utilizzando il nome fornito nelle intestazioni MIME del messaggio, senza ridurlo a un basename sicuro. La funzione globale saveAttachment() in htdocs/emailcollector/lib/emailcollector.lib.php costruisce $filepath = $path . $filename . '.' . $ext e la passa a file_put_contents(), mentre la funzione privata saveAttachment() in htdocs/emailcollector/class/emailcollector.class.php scrive su $destdir.'/'.$filename; il nome proviene sia dal valore di getName() o getFilename() dell'allegato, tramite le operazioni record-join, create-ticket e create-project. Una sequenza di directory traversal nel filename quindi sopravvive intatta, consentendo a qualsiasi mittente in grado di inviare un'email a una casella monitorata da EmailCollector (che è l'uso ordinario del modulo per supportare o gestire ticket) di posizionare contenuti controllati dall'attaccante al di fuori della directory degli allegati specifica dell'oggetto, senza possedere un account Dolibarr. Secondo la configurazione hardening richiesta dal SECURITY.md di Dolibarr, con htdocs in sola lettura, la scrittura è confinata all'albero dei documenti e corrompe o falsifica i documenti di altri oggetti; dove htdocs è scrivibile, la stessa primitiva raggiunge un percorso eseguibile via web. La versione 24.0.0 applica dol_sanitizePathName() e dol_sanitizeFileName() prima della scrittura.
VulDB is the best source for vulnerability data and more expert information about this specific topic.