Vulnerabilidades y Avisos de Seguridad: Inyección SQL en WhatsApp para Dolibarr de Sgestion / EasySoft

Resumen de la alerta

INCIBE-CERT ha publicado un aviso sobre una vulnerabilidad de inyección SQL ciega de severidad alta en WhatsApp para Dolibarr, un módulo de terceros de Sgestion / EasySoft destinado a integrar la mensajería de WhatsApp en Dolibarr.

La vulnerabilidad está identificada como CVE-2026-76173 y afecta a la versión 1.9 del módulo. Su puntuación es CVSS v4.0: 8.8, con el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N. INCIBE-CERT clasifica el aviso con severidad alta.

El fabricante ha confirmado que el parche que corrige el problema ya ha sido desplegado. La información disponible indica que no existe explotación conocida de esta vulnerabilidad.

Recursos afectados

• WhatsApp para Dolibarr, versión 1.9.

Descripción de las vulnerabilidades

CVE-2026-76173 es una vulnerabilidad clasificada como CWE-89: Inyección SQL. Este tipo de fallo se produce cuando datos controlados por una persona atacante se incorporan a una consulta de base de datos sin aplicar mecanismos seguros, como el escape adecuado o las consultas parametrizadas.

El problema se localiza en el endpoint público public/webhook/receiver.php. El módulo recibe una petición JSON y obtiene el número de teléfono a partir del parámetro data.key.remoteJid. Según el aviso, este valor se integra en una consulta SQL sin escape ni parametrización.

La condición relevante para la explotación es que la opción WHATSAPP_WEBHOOK_ALLOW esté habilitada. En ese escenario, un atacante remoto no autenticado podría manipular el valor recibido para alterar la consulta enviada a la base de datos.

La vulnerabilidad se describe como una inyección SQL ciega basada en tiempos. En este tipo de ataques, la respuesta de la aplicación no necesita mostrar directamente los datos de la base de datos: las variaciones en el tiempo de respuesta pueden utilizarse para inferir información.

Impacto y nivel de riesgo

La explotación satisfactoria podría permitir a un atacante remoto sin autenticación obtener información de la base de datos mediante técnicas basadas en tiempos. Asimismo, el aviso indica que el ataque podría degradar la disponibilidad del servicio.

La valoración CVSS refleja que el vector de ataque es de red, la complejidad es baja y no se requiere autenticación ni interacción del usuario. No obstante, la explotación depende de que WHATSAPP_WEBHOOK_ALLOW esté habilitada.

La vulnerabilidad tiene una puntuación alta de 8.8. Sin embargo, INCIBE-CERT señala “Explotación: No”, por lo que no debe interpretarse como evidencia de ataques activos o de explotación confirmada en entornos reales.

Solución y medidas recomendadas

El fabricante ha confirmado que el parche que corrige CVE-2026-76173 ya ha sido desplegado. Las organizaciones que utilicen WhatsApp para Dolibarr 1.9 deberían identificar sus instalaciones y aplicar la actualización o corrección facilitada por el fabricante conforme a sus procedimientos internos de gestión de cambios.

Como medida de reducción de exposición relacionada con el aviso, conviene revisar si la opción WHATSAPP_WEBHOOK_ALLOW está habilitada y valorar su necesidad operativa. Esta revisión no sustituye la aplicación del parche oficial.

Recomendaciones para organizaciones afectadas

1. Localizar las instancias que utilicen WhatsApp para Dolibarr 1.9.
2. Priorizar la aplicación del parche confirmado por el fabricante, especialmente en instalaciones con WHATSAPP_WEBHOOK_ALLOW habilitada.
3. Revisar la exposición del endpoint público public/webhook/receiver.php dentro de los controles operativos y de seguridad existentes.
4. Verificar, tras la actualización, que la integración de mensajería continúa funcionando según lo previsto.
5. Mantener seguimiento de los avisos del fabricante y de INCIBE-CERT relacionados con CVE-2026-76173 e INCIBE-2026-862.