CVE-2026-10215
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Dolibarr ERP CRM do wersji 23.0.1 ma podatność nieprawidłowej autoryzacji w funkcji checkUserAccessToObject w API urlopów.
Ocena ryzyka
Atakujący może zdalnie uzyskać nieuprawniony dostęp do danych urlopów lub wykonać operacje bez odpowiednich uprawnień.
Rekomendacja
Zaktualizuj Dolibarr do wersji 23.0.2, która zawiera poprawkę.
Inne podatności w Dolibarr ERP CRM
Zobacz wszystkie- CVE-2026-37713Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/class/commonobject.class.php.
- CVE-2026-37712Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/cron/class/cronjob.class.php, w funkcji call_user_func_array().
- CVE-2026-37711Wysokie
W Dolibarr ERP/CRM w wersjach od 22.0.0 do 22.0.4 oraz w wersji 24.0.0-alpha występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez plik htdocs/core/actions_addupdatedelete.inc.php.
- CVE-2025-67486Wysokie
Dolibarr to oprogramowanie do zarządzania zasobami przedsiębiorstwa (ERP) oraz relacjami z klientami (CRM). W wersjach 22.0.2 i wcześniejszych występuje podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP na serwerze.
- CVE-2017-17898Wysokie
Dolibarr ERP/CRM w wersji 6.0.4 nie blokuje bezpośrednich żądań do plików *.tpl.php, co umożliwia zdalnym atakującym uzyskanie wrażliwych informacji.
- CVE-2017-9840Wysokie
Dolibarr ERP/CRM w wersji 5.0.3 i wcześniejszych pozwala użytkownikom o niskich uprawnieniach na przesyłanie plików niebezpiecznych typów, co może prowadzić do wykonania dowolnego kodu w kontekście podatnej aplikacji.
- CVE-2018-25357Krytyczne
Dolibarr ERP CRM w wersji 7.0.3 zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez wstrzyknięcie kodu PHP przez parametr db_name. Atakujący może wysłać żądanie POST do install/step1.php z złośliwym kodem PHP w parametrze db_name, a następnie wykonać polecenia przez endpoint check.php z parametrem cmd GET.
- CVE-2026-23500Krytyczne
Dolibarr to oprogramowanie do zarządzania zasobami przedsiębiorstwa (ERP) i relacjami z klientami (CRM). W wersjach przed 23.0.0 proces konwersji ODT na PDF w pliku odf.php łączy stałą konfiguracyjną MAIN_ODT_AS_PDF bez sanitizacji w poleceniu powłoki przekazywanym do exec().
- CVE-2026-22666Wysokie
Podatność w Dolibarr ERP/CRM przed wersją 23.0.2 umożliwia uwierzytelnionym atakującym z uprawnieniami administratora zdalne wykonanie kodu. Problem leży w funkcji dol_eval_standard(), która nie sprawdza zakazanych ciągów znaków w trybie białej listy i nie wykrywa składni dynamicznego wywoływania kodu PHP.
- CVE-2023-38888Krytyczne
Podatność Cross Site Scripting (XSS) w systemie Dolibarr ERP CRM w wersji 17.0.1 i wcześniejszych umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji oraz wykonanie dowolnego kodu poprzez moduł REST API. Problem dotyczy funkcji analyseVarsForSqlAndScriptsInjection i testSqlAndScriptInject.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in Dolibarr ERP CRM up to 23.0.1. Impacted is the function checkUserAccessToObject of the file htdocs/holiday/class/api_holidays.class.php of the component Leave Request REST API. The manipulation leads to improper authorization. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. Upgrading to version 23.0.2 is recommended to address this issue. The identifier of the patch is ee93b6f2f9dd0f6aeefe9d718ab3ab0a44326b73. Upgrading the affected component is advised.