Inyección SQL en WhatsApp para Dolibarr de Sgestion / EasySoft
WhatsApp para Dolibarr, versión 1.9.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta a WhatsApp for Dolibarr de Sgestion / EasySoft, un módulo de terceros que integra la mensajería de WhatsApp en Dolibarr. La vulnerabilidad ha sido descubierta por Gabriel Jesús Machado Tavares.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE:
- CVE-2026-76173: CVSS v4.0: 8.8 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N | CWE-89
El fabricante ha confirmado que el parche que corrige la vulnerabilidad ya ha sido desplegado.
CVE-2026-76173: vulnerabilidad de inyección SQL ciega en el endpoint público public/webhook/receiver.php del módulo WhatsApp para Dolibarr 1.9. El valor del número de teléfono derivado del parámetro data.key.remoteJid, recibido mediante una petición JSON, se incorpora a una consulta SQL sin escape ni parametrización. Con la opción WHATSAPP_WEBHOOK_ALLOW habilitada, un atacante remoto no autenticado podría manipular dicho parámetro para alterar la consulta. La explotación mediante una técnica basada en tiempos podría permitir obtener información de la base de datos y degradar el servicio.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-76173 | Alta | No | SGESTION / EASYSOFT |
