CVE-2026-78160

ŚrednieCVSS 6.3

Opublikowano: 24/08/2026(UTC)Zaktualizowano: 24/08/2026(UTC)Przetłumaczono: 24/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

W Dolibarr ERP do wersji 18.0.10/22.0.5/23.0.3 znaleziono podatność w nieznanym przetwarzaniu pliku /user/note.php komponentu User Notes Handler. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 23.0.4 i 24.0.0 rozwiązuje problem.

Ocena ryzyka

Zdalny atakujący może obejść mechanizmy autoryzacji i uzyskać dostęp do notatek użytkowników lub innych zasobów, do których nie powinien mieć dostępu. Może to prowadzić do naruszenia poufności danych.

Rekomendacja

Zaleca się natychmiastowe zaktualizowanie Dolibarr ERP do wersji 23.0.4 lub 24.0.0, które zawierają poprawkę. Należy również sprawdzić logi pod kątem podejrzanych działań.

Inne podatności w Dolibarr ERP

CVE-2026-19350Średnie
W systemie Dolibarr ERP do wersji 23.0.3 wykryto podatność w module TakePOS w pliku htdocs/takepos/invoice.php. Funkcja fail prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Dostępna jest poprawka.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in Dolibarr ERP up to 18.0.10/22.0.5/23.0.3. This issue affects some unknown processing of the file /user/note.php of the component User Notes Handler. The manipulation of the argument ID leads to authorization bypass. The attack can be initiated remotely. Upgrading to version 23.0.4 and 24.0.0 is capable of addressing this issue. The identifier of the patch is 9b5229ef3a9b58d00252d327936b022fb739f149. Upgrading the affected component is advised.