Dolibarr
Faille du module WhatsApp pour Dolibarr (CVE-2026-76173)
Le 12 novembre 2026, l’INCIBE a publié la fiche CVE-2026-76173, qui concerne la version 1.9 du module WhatsApp for Dolibarr de Sgestion / EasySoft. Si la réception des événements WhatsApp est activée et que le point d’entrée est accessible, une personne sans compte peut exploiter une injection SQL. L’éditeur indique avoir déployé un correctif. Les équipes qui hébergent leur propre instance doivent vérifier la révision effectivement installée.
Von Laurent LOUIS-THERESE ·
Ce que confirme la fiche CVE
L’INCIBE attribue à la faille un score CVSS 4.0 de 8,8 sur 10. Le récepteur du webhook incorpore à une requête SQL une valeur issue du message entrant. Lorsque l’option WHATSAPP_WEBHOOK_ALLOW est active, une requête forgée peut modifier le comportement de la requête SQL. La fiche cite un risque d’extraction d’informations et de perturbation du service.
Le numéro 1.9 désigne la version du module tiers. Dans l’inventaire, relevez séparément la version de l’ERP, le nom du module et son éditeur. Plusieurs intégrations WhatsApp existent dans l’écosystème Dolibarr.
Vérifier l’installation et obtenir la révision corrigée
- Identifiez les instances qui utilisent le module Sgestion / EasySoft. Vérifiez si la réception est active et si le webhook est joignable depuis Internet. Incluez les environnements de recette exposés.
- Demandez à l’éditeur de confirmer quelle révision ou quel paquet contient le correctif et comment vérifier sa présence. La fiche CVE indique que le correctif a été déployé, sans donner de numéro de version corrigée.
- Si le correctif ne peut pas être confirmé sur une instance exposée, coordonnez avec l’équipe métier une suspension temporaire de la réception ou un blocage du point d’entrée à la passerelle. Prévoyez un canal de traitement temporaire pour les messages clients.
- Une fois le correctif appliqué, vérifiez en recette la réception d’un message légitime et son traitement dans l’ERP. Contrôlez les journaux du serveur web et de l’application avant de rétablir le flux.
Examiner les traces en cas de doute
Si le point d’entrée a été exposé, conservez les journaux disponibles avant qu’ils ne soient purgés. Recherchez les appels inhabituels, les temps de réponse anormaux et les erreurs de base de données. Ces indices orientent l’enquête. Une extraction de données doit être établie à partir des traces disponibles.
Quellen