Anmelden
Deutsch English Español Polski
Niedrig

Dolibarr ERP CRM is vulnerable to Improper Authorization through its Leave Request REST API

  • Veröffentlicht: 01.06.2026
  • Aktualisiert: 11.10.2026 10:22

A security vulnerability has been detected in Dolibarr ERP CRM up to 23.0.1. Impacted is the function checkUserAccessToObject of the file htdocs/holiday/class/api_holidays.class.php of the component Leave Request REST API. The manipulation leads to improper authorization. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. Upgrading to version 23.0.2 is recommended to address this issue. The identifier of the patch is ee93b6f2f9dd0f6aeefe9d718ab3ab0a44326b73. Upgrading the affected component is advised.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket dolibarr/dolibarr <= 15.0.3 keine Korrektur

Verweise

CVSS-Wert 4.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE)
CWE-266
Plattform
Composer
Paket
dolibarr/dolibarr
Veröffentlicht
01.06.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-7fg5-vc77-69fp - CC BY 4.0

Schwachstellenhistorie: dolibarr/dolibarr

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (126) im Archiv
Einträge insgesamt
126
Erste → letzte
11.2019 06.2026
Ohne Fix
49
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 27
  • Hoch 38
  • Mittel 56
  • Niedrig 5

Veröffentlichungen pro Jahr

Schweregrad:
  1. Dolibarr ERP CRM is vulnerable to Improper Authorization through its Leave Request REST API dieser Eintrag
    Niedrig · 4.3 CVE-2026-10215 <= 15.0.3 keine Korrektur
  2. Dolibarr ERP CRM contains a remote code evaluation vulnerability
    Kritisch · 9.8 CVE-2018-25357 >= 7.0.0, < 7.0.4, < 6.0.8 7.0.4, 6.0.8
  3. Dolibarr Allows Code Injection through its Website Module
    Hoch · 8.8 CVE-2026-31018 <= 15.0.3 keine Korrektur
  4. Dolibarr user with permission to edit PHP content can bypass filtering to restrict dangerous PHP functions
    Hoch · 8.8 CVE-2026-31019 <= 22.0.4 keine Korrektur
  5. Dolibarr: OS Command Injection (RCE) via MAIN_ODT_AS_PDF configuration
    Kritisch · 9.1 CVE-2026-23500 <= 22.0.4 keine Korrektur
  6. Dolibarr has SQL injection vulnerability in the rowid parameter of the admin dict.php
    Hoch · 8.2 CVE-2019-25710 <= 8.0.4 keine Korrektur
  7. Dolibarr vulnerable to RCE via the computed field parameter
    Hoch · 8.8 CVE-2025-56588 < 21.0.3 21.0.3
  8. Dolibarr has Remote Code Execution Vulnerability (Bypass)
    Hoch · 8.8 ghsa-49xw-hw94-fmv2 <= 21.0.2 keine Korrektur
  9. Dolibarr ERP CRM vulnerable to remote code execution (RCE)
    Hoch · 5.5 CVE-2024-40137 < 19.0.2 19.0.2
  10. Dolibarr arbitrary file upload vulnerability
    Hoch · 8.8 CVE-2024-37821 < 19.0.2 19.0.2
  11. Dolibarr vulnerable to SQL Injection
    Kritisch · 9.1 CVE-2024-5315 <= 9.0.1 keine Korrektur
  12. Dolibarr vulnerable to SQL Injection
    Kritisch · 9.1 CVE-2024-5314 <= 9.0.1 keine Korrektur
  13. Dolibarr Application Home Page has HTML injection vulnerability
    Hoch · 7.1 CVE-2024-23817 >= 18.0.4, < 18.0.7 18.0.7
  14. Dolibarr vulnerable to Cross-Site Request Forgery
    Hoch · 7.5 CVE-2024-31503 <= 19.0.0 keine Korrektur
  15. Dolibarr Improper Input Validation vulnerability
    Hoch · 7.5 CVE-2023-4197 < 18.0.2 18.0.2
  16. File Upload vulnerability in Dolibarr ERP CRM
    Hoch · 8.8 CVE-2023-38887 < 17.0.1 17.0.1
  17. Dolibarr allows a remote privileged attacker to execute arbitrary code via a crafted command/script
    Hoch · 7.2 CVE-2023-38886 < 17.0.1 17.0.1
  18. Cross Site Scripting vulnerability in Dolibarr ERP CRM
    Kritisch · 9.6 CVE-2023-38888 < 17.0.1 17.0.1
  19. Dolibarr vulnerable to unauthenticated database access
    Hoch · 7.5 CVE-2023-33568 >= 16.0.0, < 16.0.5 16.0.5
  20. Dolibarr vulnerable to remote code execution via uppercase manipulation
    Hoch · 8.8 CVE-2023-30253 < 17.0.1 17.0.1
  21. SQL injection in Dolibarr
    Kritisch · 9.8 CVE-2022-4093 >= 16.0.1, < 16.0.3 16.0.3
  22. Dolibarr vulnerable to privilege escalation
    Kritisch · 9.8 CVE-2022-43138 < 14.0.1 14.0.1
  23. Dolibarr vulnerable to Eval Injection
    Kritisch · 9.8 CVE-2022-40871 <= 15.0.3 keine Korrektur
  24. Dolibarr remote PHP code execution
    Kritisch · 9.8 CVE-2021-33816 >= 13.0.2, < 14.0.0 14.0.0
  25. Dolibarr authenticated Remote Code Execution
    Hoch · 7.2 CVE-2020-35136 < 12.0.4 12.0.4
  26. Dolibarr Unrestricted Upload of File with Dangerous Type
    Hoch · 8.8 CVE-2020-14209 < 11.0.5 11.0.5
  27. Dolibarr SQL injection vulnerability in accountancy/customer/card.php
    Hoch · 8.8 CVE-2020-14443 < 11.0.5 11.0.5
  28. Incorrect Authorization in Dolibarr
    Hoch · 8.8 CVE-2020-12669 < 12.0.0 12.0.0
  29. Dolibarr Cross-Site Request Forgery Vulnerability
    Hoch · 8.8 CVE-2020-11825 <= 10.0.6 keine Korrektur
  30. Dolibarr Cross-site Scripting via the qty parameter in product/fournisseurs.php
    Kritisch · 9.8 CVE-2019-19212 >= 3.0, <= 10.0.3 keine Korrektur
  31. Dolibarr ERP and CRM SQLi
    Hoch · 7.5 CVE-2019-19209 < 10.0.3 10.0.3
  32. Dolibarr Improper Restriction of Excessive Authentication Attempts
    Kritisch · 9.8 CVE-2020-7995 = 10.0.6 keine Korrektur
  33. Dolibarr Cross-Site Request Forgery (CSRF)
    Hoch · 8.0 CVE-2019-15062 >= 10.0, < 10.0.2 10.0.2
  34. Dolibarr ERP and CRM malicious executable loading
    Hoch · 8.8 CVE-2019-11200 < 9.0.3 9.0.3
  35. Dolibarr ERP and CRM Code Injection
    Hoch · 8.0 CVE-2019-11201 < 9.0.3 9.0.3
  36. Dolibarr Cross Site Request Forgery (CSRF)
    Hoch · 8.8 CVE-2019-1010054 = 7.0.0 keine Korrektur
  37. Dolibarr SQL Injection in doli/theme/eldy/style.css.php via the lang parameter
    Kritisch · 9.8 CVE-2017-7886 = 4.0.4 keine Korrektur
  38. Dolibarr ERP and CRM Insecure Encryption
    Kritisch · 9.8 CVE-2017-7888 <= 4.0.4 keine Korrektur
  39. Dolibarr ERP and CRM SQLi
    Kritisch · 9.8 CVE-2017-9435 < 5.0.3 5.0.3
  40. Dolibarr ERP and CRM Unsafe File Upload Vulnerability
    Hoch · 8.8 CVE-2017-9840 <= 5.0.3 keine Korrektur
Mehr anzeigen (20) 40 von 66 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.