Практическая защитная памятка по Dolibarr и GHSA-j8xc-7c27-7wj4: граница версий, runtime-инвентарь, безопасный отрицательный контроль, канарейка, rollback и обезличенный пакет владельцу.
Короткий ответ и граница риска
GHSA-j8xc-7c27-7wj4 (CVE-2026-81728) подтверждает отдельную проблему: update keys из import wizard могли попасть в SQL filter после недостаточной валидации. Граница версий: версии до 24.0.0; исправление связано с vendor commit для 24.0.0. Прямой ответ — сначала доказать наличие именно затронутого компонента и функции, затем перейти на исправленный vendor artifact. Сам факт установленного продукта не доказывает достижимость пути, а отсутствие жалоб не доказывает безопасность. Запишите runtime build, источник пакета, включённую функцию и владельца изменения; соседние advisories не объединяйте с этой проверкой.
Кому нужно реагировать и что инвентаризировать
Реагировать нужно установкам, где одновременно совпадают версия и функциональная граница из advisory. Составьте одну строку «Dolibarr version | import format | update key | validation decision | rows changed», добавьте checksum артефакта и способ его разрешения dependency manager. Не включайте hostname, IP, usernames, токены, cookies, реальные сообщения или конфиги целиком. Если downstream vendor применил backport, требуйте ссылку на changelog и patch identity. Неизвестная версия означает blocked; косвенный banner или container tag не заменяет runtime-доказательство.
Безопасная проверка без воспроизведения атаки
Нужен изолированный стенд, синтетические данные и заранее определённый отрицательный контроль. Выполните следующее: импортировать одну синтетическую строку с разрешённым ключом и отдельно неизвестным безопасным identifier; второй должен быть отвергнут до запроса. Сначала снимите baseline на текущей сборке без активного payload, затем повторите на исправленной и восстановите snapshot. Passed означает совпадение конкретного decision и сохранение штатной функции. Timeout, пустой ответ или отсутствие строки в журнале не считаются успехом: они могут означать неверный маршрут, падение или потерю telemetry.
Обновление, канарейка и возврат
План изменения: обновить Dolibarr до 24.0.0 или подтверждённого backport и разрешать только известные schema column identifiers. Канарейка должна повторять тот же runtime path, но не содержать пользовательских данных и не иметь лишних прав. До замены сохраните store/config backup, старый SHA-256, версию runtime и одну проверенную команду возврата. После обновления сверяйте фактический загруженный модуль, smoke штатного пути, отрицательный fixture, restart counter и первый релевантный error-class. Откат должен быть совместим с данными; миграцию состояния проверяйте отдельно от бинарного rollback.
Ложные зелёные сигналы и стоп-линия
Не принимайте за доказательство один health endpoint, package manifest без runtime, отсутствие публичного exploit, successful TCP connect или тишину пользователей. Для этой темы стоп-линия: если импорт меняет production data, тест требует SQL fragments или нет transaction rollback. При срабатывании остановите опыт, сохраните только обезличенные признаки и верните прежний snapshot. Не расширяйте тест, чтобы добиться воспроизведения. Фильтр alphanohtml не является SQL allowlist; доказательство должно показать точное сопоставление ключа со schema field до query builder. Это различает защитную верификацию от инструкции по эксплуатации и сохраняет people-first границу.
Минимальный пакет для владельца системы
Передайте владельцу: GHSA-j8xc-7c27-7wj4, точную версию до и после, источник артефакта, SHA-256, строку матрицы «Dolibarr version | import format | update key | validation decision | rows changed», timestamp Europe/Moscow, expected decision, фактический decision и один очищенный error-class. Добавьте ссылку на vendor advisory и fix/release. Удалите secrets, абсолютные домашние пути, IP, account ids и содержимое пользовательских объектов. Итоговые статусы: passed, failed, blocked или not affected by reachability; последний требует доказательства, что функция действительно выключена.
Разобрать права import updatekeys
В Dolibarr сначала находят роли, которым доступен импорт и режим обновления существующих ключей. Тестовый CSV содержит две вымышленные строки и обычные значения; цель — подтвердить параметризацию и ожидаемое обновление, а не составить инъекцию. Database audit на временной схеме показывает форму prepared query и число затронутых строк без содержимого. После 24.0.0 проверяют, что неавторизованная роль не открывает тот же action через прямой route. Backup нужен на уровне базы теста, поскольку даже безопасный import изменяет состояние. Custom import modules считаются отдельным кодом и не наследуют гарантию vendor patch автоматически.
Материал подготовлен редакцией VOne с помощью ИИ по открытым официальным и первичным источникам; факты, версии и ссылки перепроверены. Реальные пользовательские данные, активные payload и вымышленные результаты тестов не использовались.
Источники и проверка
- Dolibarr advisory GHSA-j8xc-7c27-7wj4 проверено 2026-08-30
- Dolibarr vendor fix or release проверено 2026-08-30
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.