Dolibarr 23.0.0: dol_eval() Whitelist Bypass → RCE — Jiva SecurityDolibarr 23.0.0 に存在する評価エンジンにおけるゼロデイ脆弱性が特定され、認証された管理者が任意の PHP コードを実行可能となる。

• Dolibarr 23.0.0 に存在する評価エンジンにおけるゼロデイ脆弱性が特定され、認証された管理者が任意の PHP コードを実行可能となる。
• デフォルト管理アカウントと組み合わせて利用可能であり、暗号推測なしで実行可能な脆弱性が判明した。
• ホワイトリストモードとブラックリストモードの制御フローにおいて、セキュリティチェックが誤って適用されない不整合が原因である。

ERP/CRM プラットフォームのデフォルト設定で RCE が実行可能な重大な脆弱性であり、サプライチェーン攻撃のリスクが極めて高い。