CVE-2026-33944 CVSS 8.8 — HIGH other เผยแพร่: 2026-11-05

ช่องโหว่ SQL Injection — CVE-2026-33944 (CVSS 8.8)

⚠️ ระดับสูง (CVSS 8.8) — ควรแก้ไขภายใน 48-72 ชั่วโมง SQL Injection เป็นช่องโหว่ร้ายแรงที่อาจนำไปสู่การขโมยข้อมูลลูกค้าทั้งหมด

📋 สรุปช่องโหว่

ช่องโหว่ SQL Injection ถูกค้นพบโดยมี CVSS Score 8.8 ระดับ "สูง" ซึ่งถือว่าอันตรายมากและต้องได้รับการแก้ไขอย่างเร่งด่วน

SQL Injection เกิดจากการที่ระบบนำข้อมูลจากผู้ใช้มาประกอบ SQL query โดยตรงโดยไม่ผ่านการ sanitize ผู้โจมตีสามารถแทรก SQL statement อันตรายเพื่อเข้าถึงหรือแก้ไขข้อมูลในฐานข้อมูลได้

ความรุนแรงของช่องโหว่นี้อยู่ที่ความง่ายในการโจมตีและความเสียหายที่สามารถเกิดขึ้นได้ในวงกว้าง ตั้งแต่การขโมยข้อมูลผู้ใช้ทั้งหมด ไปจนถึงการควบคุมเซิร์ฟเวอร์

💥 ผลกระทบที่อาจเกิดขึ้น

ผลกระทบที่อาจเกิดขึ้นจากช่องโหว่นี้:

• ขโมยข้อมูล Users/Passwords: ดึง username email และ password hash ของผู้ใช้ทั้งหมดออกจากฐานข้อมูล
• Bypass Authentication: ข้ามการตรวจสอบรหัสผ่านและเข้าสู่ระบบในฐานะ admin โดยไม่รู้รหัสผ่าน
• แก้ไข/ลบข้อมูล: เปลี่ยนแปลงหรือทำลายข้อมูลในฐานข้อมูลทั้งหมด
• อ่านไฟล์ระบบ: ในบางกรณีอาจใช้ SQL อ่านไฟล์บนเซิร์ฟเวอร์ได้
• Remote Code Execution: หากมีสิทธิ์ FILE อาจเขียน PHP shell ลงในเว็บเซิร์ฟเวอร์
• ขโมยข้อมูลธุรกิจ: ดึงข้อมูลลูกค้า ข้อมูลบัตรเครดิต หรือข้อมูลความลับทางธุรกิจ

🖥️ ซอฟต์แวร์และระบบที่ได้รับผลกระทบ

ตรวจสอบรายละเอียดจาก https://nvd.nist.gov/vuln/detail/CVE-2026-33944

🔧 แนวทางการแก้ไขและป้องกัน

ขั้นตอนแก้ไขเร่งด่วน:
1. อัพเดตทันที: อัพเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุดที่แก้ไขช่องโหว่แล้ว
2. ตรวจสอบ Logs ย้อนหลัง: ค้นหาคำว่า UNION SELECT, OR 1=1, -- ใน access log เพื่อดูว่าถูกโจมตีไปแล้วหรือไม่
3. เปลี่ยนรหัสผ่านทั้งหมด: เปลี่ยน DB password, admin password, และ secret keys ทันที
4. ตรวจสอบ User Accounts: ดูว่ามี account ที่ไม่รู้จักหรือ permission ที่ผิดปกติ
5. ติดตั้ง WAF: ใช้ Cloudflare WAF, ModSecurity หรือ Wordfence เพื่อ block SQL injection attempts
6. Backup ฐานข้อมูล: สำรองข้อมูลก่อนดำเนินการแก้ไขใดๆ
7. แจ้งผู้ใช้: หากมีข้อมูลผู้ใช้รั่วไหล ควรแจ้งให้ผู้ใช้เปลี่ยนรหัสผ่านทันที

📄 รายละเอียดต้นฉบับ (ภาษาอังกฤษ)

Dolibarr is an open-source enterprise resource planning and customer relationship management application. Prior to 22.0.5 and 23.0.1, there is a SQL injection vulnerability in the Third Party company update functionality. The application concatenates the localtax1_value and localtax2_value properties into an SQL UPDATE statement without numeric conversion or other appropriate sanitization. An authenticated user with Third Party create or edit permission can submit crafted lt1 or lt2 POST parameters to read sensitive database information, including password hashes, API keys, and business data, or modify third-party records. This issue is fixed in versions 22.0.5 and 23.0.2.

🔗 แหล่งอ้างอิง

NVD — CVE-2026-33944 https://github.com/Dolibarr/dolibarr/commit/a06b14b7dc39d33f8fa00c9b27f2913b494885cb https://github.com/Dolibarr/dolibarr/commit/c83c13305240c2c0a3779e678b57238b32d15e7c https://github.com/Dolibarr/dolibarr/pull/37632 https://github.com/Dolibarr/dolibarr/releases/tag/22.0.5 https://github.com/Dolibarr/dolibarr/releases/tag/23.0.2