CVE-2026-116218
CVE-2026-116218 · Dolibarr ERP CRM 19.0.0 before 23.0.4 SQL Injection via bankaccounts API type field
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Dolibarr ERP CRM 19.0.0 before 23.0.4 contains an SQL injection vulnerability that allows authenticated API users to inject SQL via the type field of the third-party bankaccounts REST endpoint. Attackers with only societe/creer permission can break out of the unescaped type value in CompanyBankAccount::create() to read password hashes and API keys via time-based blind subqueries.
CVSS 7.2 · Élevée · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
dolibarr
- Versions du logiciel
- ≥ 19.0.0, < 23.0.4: Concernée (semver)
- 23.0.4: Non concernée (semver)
Mettez à jour vers 23.0.4
dolibarr Ubuntu:Pro:16.04:LTS
- Versions du logiciel
- 3.5.5+dfsg1-2
- 3.5.7+dfsg1-1
- 3.5.8+dfsg1-1
- 3.5.8+dfsg1-1ubuntu1
- 3.5.8+dfsg1-1ubuntu1+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
Sources originales
- https://github.com/Dolibarr/dolibarr/commit/19991c8ffa9b4fd7338b7ef2585fadb554b86735
- https://github.com/Dolibarr/dolibarr/blob/23.0.3/htdocs/societe/class/companybankaccount.class.php#L399
- https://github.com/Dolibarr/dolibarr/blob/23.0.3/htdocs/societe/class/api_thirdparties.class.php#L1852
- https://github.com/Dolibarr/dolibarr
- https://www.vulncheck.com/advisories/dolibarr-erp-crm-19.0.0-before-23.0.4-sql-injection-via-bankaccounts-api-type-field
- https://nvd.nist.gov/vuln/detail/CVE-2026-116218