Iniciar sesión
Deutsch English Español Polski
Alta

Dolibarr vulnerable to Improper Authentication and Improper Access Control

  • Publicada: 02.09.2021
  • Actualizado: 11.10.2026 10:22

In Dolibarr application, v3.3.beta1_20121221 to v13.0.2 have Modify access for admin level users to change other user’s details but fails to validate already existing “Login” name, while renaming the user Login. This leads to complete account takeover of the victim user. This happens since the password gets overwritten for the victim user having a similar login name.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer dolibarr/dolibarr >= 3.3.beta1, < 14.0.0 14.0.0

Referencias

Puntuación CVSS 7.2/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-284, CWE-287
Plataforma
Composer
Paquete
dolibarr/dolibarr
Publicada
02.09.2021
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-fjqg-w8g6-hhq8 - CC BY 4.0

Historial de vulnerabilidades: dolibarr/dolibarr

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (126) en el archivo
Entradas en total
126
Primera → última
11.2019 06.2026
Sin corrección
49
Explotada en ataques
0

Distribución por gravedad

  • Crítica 27
  • Alta 38
  • Media 56
  • Baja 5

Divulgaciones por año

Gravedad:
  1. Dolibarr vulnerable to Improper Authentication and Improper Access Control esta entrada
    Alta · 7.2 CVE-2021-25956 >= 3.3.beta1, < 14.0.0 14.0.0
  2. Dolibarr ERP CRM contains a remote code evaluation vulnerability
    Crítica · 9.8 CVE-2018-25357 >= 7.0.0, < 7.0.4, < 6.0.8 7.0.4, 6.0.8
  3. Dolibarr Allows Code Injection through its Website Module
    Alta · 8.8 CVE-2026-31018 <= 15.0.3 sin corrección
  4. Dolibarr user with permission to edit PHP content can bypass filtering to restrict dangerous PHP functions
    Alta · 8.8 CVE-2026-31019 <= 22.0.4 sin corrección
  5. Dolibarr: OS Command Injection (RCE) via MAIN_ODT_AS_PDF configuration
    Crítica · 9.1 CVE-2026-23500 <= 22.0.4 sin corrección
  6. Dolibarr has SQL injection vulnerability in the rowid parameter of the admin dict.php
    Alta · 8.2 CVE-2019-25710 <= 8.0.4 sin corrección
  7. Dolibarr vulnerable to RCE via the computed field parameter
    Alta · 8.8 CVE-2025-56588 < 21.0.3 21.0.3
  8. Dolibarr has Remote Code Execution Vulnerability (Bypass)
    Alta · 8.8 ghsa-49xw-hw94-fmv2 <= 21.0.2 sin corrección
  9. Dolibarr ERP CRM vulnerable to remote code execution (RCE)
    Alta · 5.5 CVE-2024-40137 < 19.0.2 19.0.2
  10. Dolibarr arbitrary file upload vulnerability
    Alta · 8.8 CVE-2024-37821 < 19.0.2 19.0.2
  11. Dolibarr vulnerable to SQL Injection
    Crítica · 9.1 CVE-2024-5315 <= 9.0.1 sin corrección
  12. Dolibarr vulnerable to SQL Injection
    Crítica · 9.1 CVE-2024-5314 <= 9.0.1 sin corrección
  13. Dolibarr Application Home Page has HTML injection vulnerability
    Alta · 7.1 CVE-2024-23817 >= 18.0.4, < 18.0.7 18.0.7
  14. Dolibarr vulnerable to Cross-Site Request Forgery
    Alta · 7.5 CVE-2024-31503 <= 19.0.0 sin corrección
  15. Dolibarr Improper Input Validation vulnerability
    Alta · 7.5 CVE-2023-4197 < 18.0.2 18.0.2
  16. File Upload vulnerability in Dolibarr ERP CRM
    Alta · 8.8 CVE-2023-38887 < 17.0.1 17.0.1
  17. Dolibarr allows a remote privileged attacker to execute arbitrary code via a crafted command/script
    Alta · 7.2 CVE-2023-38886 < 17.0.1 17.0.1
  18. Cross Site Scripting vulnerability in Dolibarr ERP CRM
    Crítica · 9.6 CVE-2023-38888 < 17.0.1 17.0.1
  19. Dolibarr vulnerable to unauthenticated database access
    Alta · 7.5 CVE-2023-33568 >= 16.0.0, < 16.0.5 16.0.5
  20. Dolibarr vulnerable to remote code execution via uppercase manipulation
    Alta · 8.8 CVE-2023-30253 < 17.0.1 17.0.1
  21. SQL injection in Dolibarr
    Crítica · 9.8 CVE-2022-4093 >= 16.0.1, < 16.0.3 16.0.3
  22. Dolibarr vulnerable to privilege escalation
    Crítica · 9.8 CVE-2022-43138 < 14.0.1 14.0.1
  23. Dolibarr vulnerable to Eval Injection
    Crítica · 9.8 CVE-2022-40871 <= 15.0.3 sin corrección
  24. Dolibarr remote PHP code execution
    Crítica · 9.8 CVE-2021-33816 >= 13.0.2, < 14.0.0 14.0.0
  25. Dolibarr authenticated Remote Code Execution
    Alta · 7.2 CVE-2020-35136 < 12.0.4 12.0.4
  26. Dolibarr Unrestricted Upload of File with Dangerous Type
    Alta · 8.8 CVE-2020-14209 < 11.0.5 11.0.5
  27. Dolibarr SQL injection vulnerability in accountancy/customer/card.php
    Alta · 8.8 CVE-2020-14443 < 11.0.5 11.0.5
  28. Incorrect Authorization in Dolibarr
    Alta · 8.8 CVE-2020-12669 < 12.0.0 12.0.0
  29. Dolibarr Cross-Site Request Forgery Vulnerability
    Alta · 8.8 CVE-2020-11825 <= 10.0.6 sin corrección
  30. Dolibarr Cross-site Scripting via the qty parameter in product/fournisseurs.php
    Crítica · 9.8 CVE-2019-19212 >= 3.0, <= 10.0.3 sin corrección
  31. Dolibarr ERP and CRM SQLi
    Alta · 7.5 CVE-2019-19209 < 10.0.3 10.0.3
  32. Dolibarr Improper Restriction of Excessive Authentication Attempts
    Crítica · 9.8 CVE-2020-7995 = 10.0.6 sin corrección
  33. Dolibarr Cross-Site Request Forgery (CSRF)
    Alta · 8.0 CVE-2019-15062 >= 10.0, < 10.0.2 10.0.2
  34. Dolibarr ERP and CRM malicious executable loading
    Alta · 8.8 CVE-2019-11200 < 9.0.3 9.0.3
  35. Dolibarr ERP and CRM Code Injection
    Alta · 8.0 CVE-2019-11201 < 9.0.3 9.0.3
  36. Dolibarr Cross Site Request Forgery (CSRF)
    Alta · 8.8 CVE-2019-1010054 = 7.0.0 sin corrección
  37. Dolibarr SQL Injection in doli/theme/eldy/style.css.php via the lang parameter
    Crítica · 9.8 CVE-2017-7886 = 4.0.4 sin corrección
  38. Dolibarr ERP and CRM Insecure Encryption
    Crítica · 9.8 CVE-2017-7888 <= 4.0.4 sin corrección
  39. Dolibarr ERP and CRM SQLi
    Crítica · 9.8 CVE-2017-9435 < 5.0.3 5.0.3
  40. Dolibarr ERP and CRM Unsafe File Upload Vulnerability
    Alta · 8.8 CVE-2017-9840 <= 5.0.3 sin corrección
  41. Dolibarr SQL injection vulnerability in admin/menus/edit.php
    Crítica · 9.8 CVE-2017-14238 < 6.0.1 6.0.1
Mostrar más (20) Mostrando 41 de 65

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.