CVE-2026-107706
CVE-2026-107706 · Dolibarr before 24.0.2 Incorrect Authorization via updateextrafield.php
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Dolibarr ERP CRM before 24.0.2 contains an incorrect authorization vulnerability in htdocs/core/ajax/updateextrafield.php that checks only read permission before writing extrafield values. Authenticated users with read-only access can POST objectType, objectId, field and value parameters to persistently modify extrafields on viewable third parties, products, members, projects or contacts.
CVSS 5.3 · Mittel · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
dolibarr
- Softwareversionen
- ≥ 0, < 24.0.2: Betroffen (semver)
- 24.0.2: Nicht betroffen (semver)
Auf 24.0.2 aktualisieren
dolibarr Ubuntu:Pro:16.04:LTS
- Softwareversionen
- 3.5.5+dfsg1-2
- 3.5.7+dfsg1-1
- 3.5.8+dfsg1-1
- 3.5.8+dfsg1-1ubuntu1
- 3.5.8+dfsg1-1ubuntu1+esm1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
Originalquellen
- https://github.com/Dolibarr/dolibarr/commit/3420d17b199059ac22fca8b59f23cb8962fc8ef8
- https://github.com/Dolibarr/dolibarr
- https://github.com/Dolibarr/dolibarr/blob/24.0.1/htdocs/core/ajax/updateextrafield.php#L80
- https://www.vulncheck.com/advisories/dolibarr-before-24.0.2-incorrect-authorization-via-updateextrafield-php
- https://nvd.nist.gov/vuln/detail/CVE-2026-107706