p PatchFirst

CVE-2026-107706

CVE-2026-107706 · Dolibarr before 24.0.2 Incorrect Authorization via updateextrafield.php

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Dolibarr ERP CRM before 24.0.2 contains an incorrect authorization vulnerability in htdocs/core/ajax/updateextrafield.php that checks only read permission before writing extrafield values. Authenticated users with read-only access can POST objectType, objectId, field and value parameters to persistently modify extrafields on viewable third parties, products, members, projects or contacts.

CVSS 5.3 · Media · EPSS 0,2% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • dolibarr

    Versiones
    • ≥ 0, < 24.0.2: Afectada (semver)
    • 24.0.2: No afectada (semver)

    Actualiza a 24.0.2

  • dolibarr Ubuntu:Pro:16.04:LTS

    Versiones
    • 3.5.5+dfsg1-2
    • 3.5.7+dfsg1-1
    • 3.5.8+dfsg1-1
    • 3.5.8+dfsg1-1ubuntu1
    • 3.5.8+dfsg1-1ubuntu1+esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →