Iniciar sesión
Deutsch English Español Polski
Crítica

Dolibarr Cross-site Scripting vulnerability

  • Publicada: 30.08.2021
  • Actualizado: 11.10.2026 10:22

In Dolibarr ERP CRM, WYSIWYG Editor module, v2.8.1 to v13.0.2 are affected by a stored XSS vulnerability that allows low privileged application users to store malicious scripts in the Private Note field at /adherents/note.php?id=1 endpoint. These scripts are executed in a victim’s browser when they open the page containing the vulnerable field. In the worst case, the victim who inadvertently triggers the attack is a highly privileged administrator. The injected scripts can extract the Session ID, which can lead to full Account takeover of the admin and due to other vulnerability (Improper Access Control on Private notes) a low privileged user can update the private notes which could lead to privilege escalation.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer dolibarr/dolibarr >= 2.8.1, < 14.0.0 14.0.0

Referencias

Puntuación CVSS 9/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Debilidad (CWE)
CWE-79
Plataforma
Composer
Paquete
dolibarr/dolibarr
Publicada
30.08.2021
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-cpv8-6xgr-rmf6 - CC BY 4.0

Historial de vulnerabilidades: dolibarr/dolibarr

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (126) en el archivo
Entradas en total
126
Primera → última
11.2019 06.2026
Sin corrección
49
Explotada en ataques
0

Distribución por gravedad

  • Crítica 27
  • Alta 38
  • Media 56
  • Baja 5

Divulgaciones por año

Gravedad:
  1. Dolibarr ERP CRM contains a remote code evaluation vulnerability
    Crítica · 9.8 CVE-2018-25357 >= 7.0.0, < 7.0.4, < 6.0.8 7.0.4, 6.0.8
  2. Dolibarr Allows Code Injection through its Website Module
    Alta · 8.8 CVE-2026-31018 <= 15.0.3 sin corrección
  3. Dolibarr user with permission to edit PHP content can bypass filtering to restrict dangerous PHP functions
    Alta · 8.8 CVE-2026-31019 <= 22.0.4 sin corrección
  4. Dolibarr: OS Command Injection (RCE) via MAIN_ODT_AS_PDF configuration
    Crítica · 9.1 CVE-2026-23500 <= 22.0.4 sin corrección
  5. Dolibarr has SQL injection vulnerability in the rowid parameter of the admin dict.php
    Alta · 8.2 CVE-2019-25710 <= 8.0.4 sin corrección
  6. Dolibarr vulnerable to RCE via the computed field parameter
    Alta · 8.8 CVE-2025-56588 < 21.0.3 21.0.3
  7. Dolibarr has Remote Code Execution Vulnerability (Bypass)
    Alta · 8.8 ghsa-49xw-hw94-fmv2 <= 21.0.2 sin corrección
  8. Dolibarr ERP CRM vulnerable to remote code execution (RCE)
    Alta · 5.5 CVE-2024-40137 < 19.0.2 19.0.2
  9. Dolibarr arbitrary file upload vulnerability
    Alta · 8.8 CVE-2024-37821 < 19.0.2 19.0.2
  10. Dolibarr vulnerable to SQL Injection
    Crítica · 9.1 CVE-2024-5315 <= 9.0.1 sin corrección
  11. Dolibarr vulnerable to SQL Injection
    Crítica · 9.1 CVE-2024-5314 <= 9.0.1 sin corrección
  12. Dolibarr Application Home Page has HTML injection vulnerability
    Alta · 7.1 CVE-2024-23817 >= 18.0.4, < 18.0.7 18.0.7
  13. Dolibarr vulnerable to Cross-Site Request Forgery
    Alta · 7.5 CVE-2024-31503 <= 19.0.0 sin corrección
  14. Dolibarr Improper Input Validation vulnerability
    Alta · 7.5 CVE-2023-4197 < 18.0.2 18.0.2
  15. File Upload vulnerability in Dolibarr ERP CRM
    Alta · 8.8 CVE-2023-38887 < 17.0.1 17.0.1
  16. Dolibarr allows a remote privileged attacker to execute arbitrary code via a crafted command/script
    Alta · 7.2 CVE-2023-38886 < 17.0.1 17.0.1
  17. Cross Site Scripting vulnerability in Dolibarr ERP CRM
    Crítica · 9.6 CVE-2023-38888 < 17.0.1 17.0.1
  18. Dolibarr vulnerable to unauthenticated database access
    Alta · 7.5 CVE-2023-33568 >= 16.0.0, < 16.0.5 16.0.5
  19. Dolibarr vulnerable to remote code execution via uppercase manipulation
    Alta · 8.8 CVE-2023-30253 < 17.0.1 17.0.1
  20. SQL injection in Dolibarr
    Crítica · 9.8 CVE-2022-4093 >= 16.0.1, < 16.0.3 16.0.3
  21. Dolibarr vulnerable to privilege escalation
    Crítica · 9.8 CVE-2022-43138 < 14.0.1 14.0.1
  22. Dolibarr vulnerable to Eval Injection
    Crítica · 9.8 CVE-2022-40871 <= 15.0.3 sin corrección
  23. Dolibarr remote PHP code execution
    Crítica · 9.8 CVE-2021-33816 >= 13.0.2, < 14.0.0 14.0.0
  24. Dolibarr authenticated Remote Code Execution
    Alta · 7.2 CVE-2020-35136 < 12.0.4 12.0.4
  25. Dolibarr Unrestricted Upload of File with Dangerous Type
    Alta · 8.8 CVE-2020-14209 < 11.0.5 11.0.5
  26. Dolibarr SQL injection vulnerability in accountancy/customer/card.php
    Alta · 8.8 CVE-2020-14443 < 11.0.5 11.0.5
  27. Incorrect Authorization in Dolibarr
    Alta · 8.8 CVE-2020-12669 < 12.0.0 12.0.0
  28. Dolibarr Cross-Site Request Forgery Vulnerability
    Alta · 8.8 CVE-2020-11825 <= 10.0.6 sin corrección
  29. Dolibarr Cross-site Scripting via the qty parameter in product/fournisseurs.php
    Crítica · 9.8 CVE-2019-19212 >= 3.0, <= 10.0.3 sin corrección
  30. Dolibarr ERP and CRM SQLi
    Alta · 7.5 CVE-2019-19209 < 10.0.3 10.0.3
  31. Dolibarr Improper Restriction of Excessive Authentication Attempts
    Crítica · 9.8 CVE-2020-7995 = 10.0.6 sin corrección
  32. Dolibarr Cross-Site Request Forgery (CSRF)
    Alta · 8.0 CVE-2019-15062 >= 10.0, < 10.0.2 10.0.2
  33. Dolibarr ERP and CRM malicious executable loading
    Alta · 8.8 CVE-2019-11200 < 9.0.3 9.0.3
  34. Dolibarr ERP and CRM Code Injection
    Alta · 8.0 CVE-2019-11201 < 9.0.3 9.0.3
  35. Dolibarr Cross Site Request Forgery (CSRF)
    Alta · 8.8 CVE-2019-1010054 = 7.0.0 sin corrección
  36. Dolibarr SQL Injection in doli/theme/eldy/style.css.php via the lang parameter
    Crítica · 9.8 CVE-2017-7886 = 4.0.4 sin corrección
  37. Dolibarr ERP and CRM Insecure Encryption
    Crítica · 9.8 CVE-2017-7888 <= 4.0.4 sin corrección
  38. Dolibarr ERP and CRM SQLi
    Crítica · 9.8 CVE-2017-9435 < 5.0.3 5.0.3
  39. Dolibarr ERP and CRM Unsafe File Upload Vulnerability
    Alta · 8.8 CVE-2017-9840 <= 5.0.3 sin corrección
  40. Dolibarr SQL injection vulnerability in admin/menus/edit.php
    Crítica · 9.8 CVE-2017-14238 < 6.0.1 6.0.1
  41. Dolibarr SQL injection vulnerability in don/list.php
    Crítica · 9.8 CVE-2017-14242 < 6.0.1 6.0.1
  42. Dolibarr ERP and CRM Sensitive Data Disclosure
    Alta · 7.5 CVE-2017-14240 < 6.0.1 6.0.1
  43. Dolibarr SQL injection vulnerability in comm/multiprix.php
    Crítica · 9.8 CVE-2017-17897 < 6.0.5 6.0.5
  44. Dolibarr SQL injection vulnerability in fourn/index.php
    Crítica · 9.8 CVE-2017-17900 < 6.0.5 6.0.5
  45. Dolibarr SQL injection vulnerability in adherents/subscription/info.php
    Crítica · 9.8 CVE-2017-17899 < 6.0.5 6.0.5
  46. Dolibarr sensitive information disclosure
    Alta · 7.5 CVE-2017-17898 < 6.0.5 6.0.5
  47. Dolibarr SQL injection via type parameter in product/stats/card.php
    Alta · 8.8 CVE-2017-9839 < 5.0.4 5.0.4
  48. Dolibarr SQL injection vulnerability
    Alta · 8.8 CVE-2017-18260 <= 7.0.0 sin corrección
  49. Dolibarr SQL injection vulnerability
    Crítica · 9.8 CVE-2018-10094 < 7.0.2 7.0.2
  50. Dolibarr SQL injection vulnerability in product/card.php
    Crítica · 9.8 CVE-2018-13448 >= 7.0.3, < 7.0.4 7.0.4
  51. Dolibarr SQL injection vulnerability in product/card.php
    Crítica · 9.8 CVE-2018-13447 >= 7.0.3, < 7.0.4 7.0.4
  52. Dolibarr SQL injection vulnerability in product/card.php
    Crítica · 9.8 CVE-2018-13450 >= 7.0.3, < 7.0.4 7.0.4
  53. Dolibarr SQL injection vulnerability in product/card.php
    Crítica · 9.8 CVE-2018-13449 >= 7.0.3, < 7.0.4 7.0.4
  54. Dolibarr error-based SQL injection vulnerability in product/card.php
    Alta · 8.8 CVE-2018-19994 < 8.0.4 8.0.4
  55. Dolibarr SQL injection vulnerability in user/card.php
    Alta · 8.8 CVE-2018-19998 < 8.0.4 8.0.4
  56. Dolibarr SQL injection via the integer parameters qty and value_unit
    Crítica · 9.8 CVE-2018-16809 >= 3.8, <= 7.0.0 sin corrección
  57. Dolibarr arbitrary commands execution
    Alta · 8.0 CVE-2018-10092 < 7.0.2 7.0.2
  58. Dolibarr SQL Injection vulnerability
    Crítica · 9.8 CVE-2018-9019 < 7.0.2 7.0.2
  59. SQL Injection in Dolibarr
    Alta · 8.8 CVE-2021-36625 < 14.0.0 14.0.0
  60. Access Control vulnerability in Dolibarr
    Alta · 7.5 CVE-2021-37517 < 14.0.1 14.0.1
  61. Code injection in dolibarr/dolibarr
    Alta · 8.8 CVE-2022-0819 < 15.0.1 15.0.1
  62. SQL Injection in dolibarr
    Alta · 8.3 CVE-2022-0224 <= 14.0.5 sin corrección
  63. Dolibarr vulnerable to Improper Authentication and Improper Access Control
    Alta · 7.2 CVE-2021-25956 >= 3.3.beta1, < 14.0.0 14.0.0
  64. Weak Password Recovery Mechanism for Forgotten Password
    Alta · 8.8 CVE-2021-25957 < 14.0.0 14.0.0
  65. Dolibarr Cross-site Scripting vulnerability esta entrada
    Crítica · 9.0 CVE-2021-25955 >= 2.8.1, < 14.0.0 14.0.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.