Zaloguj się
Deutsch English Español Polski
Niska

Dolibarr ERP CRM is vulnerable to Improper Authorization through its Leave Request REST API

  • Ujawniono: 01.06.2026
  • Aktualizacja: 11.10.2026 10:22

A security vulnerability has been detected in Dolibarr ERP CRM up to 23.0.1. Impacted is the function checkUserAccessToObject of the file htdocs/holiday/class/api_holidays.class.php of the component Leave Request REST API. The manipulation leads to improper authorization. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. Upgrading to version 23.0.2 is recommended to address this issue. The identifier of the patch is ee93b6f2f9dd0f6aeefe9d718ab3ab0a44326b73. Upgrading the affected component is advised.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer dolibarr/dolibarr <= 15.0.3 brak poprawki

Odnośniki

Ocena CVSS 4.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-266
Platforma
Composer
Paczka
dolibarr/dolibarr
Ujawniono
01.06.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7fg5-vc77-69fp - CC BY 4.0

Historia podatności: dolibarr/dolibarr

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (126) w archiwum
Wszystkich wpisów
126
Pierwsza → ostatnia
11.2019 06.2026
Bez poprawki
49
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 27
  • Wysoka 38
  • Średnia 56
  • Niska 5

Ujawnienia w latach

Istotność:
  1. Dolibarr ERP CRM is vulnerable to Improper Authorization through its Leave Request REST API ten wpis
    Niska · 4.3 CVE-2026-10215 <= 15.0.3 brak poprawki
  2. Dolibarr ERP CRM contains a remote code evaluation vulnerability
    Krytyczna · 9.8 CVE-2018-25357 >= 7.0.0, < 7.0.4, < 6.0.8 7.0.4, 6.0.8
  3. Dolibarr Allows Code Injection through its Website Module
    Wysoka · 8.8 CVE-2026-31018 <= 15.0.3 brak poprawki
  4. Dolibarr user with permission to edit PHP content can bypass filtering to restrict dangerous PHP functions
    Wysoka · 8.8 CVE-2026-31019 <= 22.0.4 brak poprawki
  5. Dolibarr: OS Command Injection (RCE) via MAIN_ODT_AS_PDF configuration
    Krytyczna · 9.1 CVE-2026-23500 <= 22.0.4 brak poprawki
  6. Dolibarr has SQL injection vulnerability in the rowid parameter of the admin dict.php
    Wysoka · 8.2 CVE-2019-25710 <= 8.0.4 brak poprawki
  7. Dolibarr vulnerable to RCE via the computed field parameter
    Wysoka · 8.8 CVE-2025-56588 < 21.0.3 21.0.3
  8. Dolibarr has Remote Code Execution Vulnerability (Bypass)
    Wysoka · 8.8 ghsa-49xw-hw94-fmv2 <= 21.0.2 brak poprawki
  9. Dolibarr ERP CRM vulnerable to remote code execution (RCE)
    Wysoka · 5.5 CVE-2024-40137 < 19.0.2 19.0.2
  10. Dolibarr arbitrary file upload vulnerability
    Wysoka · 8.8 CVE-2024-37821 < 19.0.2 19.0.2
  11. Dolibarr vulnerable to SQL Injection
    Krytyczna · 9.1 CVE-2024-5315 <= 9.0.1 brak poprawki
  12. Dolibarr vulnerable to SQL Injection
    Krytyczna · 9.1 CVE-2024-5314 <= 9.0.1 brak poprawki
  13. Dolibarr Application Home Page has HTML injection vulnerability
    Wysoka · 7.1 CVE-2024-23817 >= 18.0.4, < 18.0.7 18.0.7
  14. Dolibarr vulnerable to Cross-Site Request Forgery
    Wysoka · 7.5 CVE-2024-31503 <= 19.0.0 brak poprawki
  15. Dolibarr Improper Input Validation vulnerability
    Wysoka · 7.5 CVE-2023-4197 < 18.0.2 18.0.2
  16. File Upload vulnerability in Dolibarr ERP CRM
    Wysoka · 8.8 CVE-2023-38887 < 17.0.1 17.0.1
  17. Dolibarr allows a remote privileged attacker to execute arbitrary code via a crafted command/script
    Wysoka · 7.2 CVE-2023-38886 < 17.0.1 17.0.1
  18. Cross Site Scripting vulnerability in Dolibarr ERP CRM
    Krytyczna · 9.6 CVE-2023-38888 < 17.0.1 17.0.1
  19. Dolibarr vulnerable to unauthenticated database access
    Wysoka · 7.5 CVE-2023-33568 >= 16.0.0, < 16.0.5 16.0.5
  20. Dolibarr vulnerable to remote code execution via uppercase manipulation
    Wysoka · 8.8 CVE-2023-30253 < 17.0.1 17.0.1
  21. SQL injection in Dolibarr
    Krytyczna · 9.8 CVE-2022-4093 >= 16.0.1, < 16.0.3 16.0.3
  22. Dolibarr vulnerable to privilege escalation
    Krytyczna · 9.8 CVE-2022-43138 < 14.0.1 14.0.1
  23. Dolibarr vulnerable to Eval Injection
    Krytyczna · 9.8 CVE-2022-40871 <= 15.0.3 brak poprawki
  24. Dolibarr remote PHP code execution
    Krytyczna · 9.8 CVE-2021-33816 >= 13.0.2, < 14.0.0 14.0.0
  25. Dolibarr authenticated Remote Code Execution
    Wysoka · 7.2 CVE-2020-35136 < 12.0.4 12.0.4
  26. Dolibarr Unrestricted Upload of File with Dangerous Type
    Wysoka · 8.8 CVE-2020-14209 < 11.0.5 11.0.5
  27. Dolibarr SQL injection vulnerability in accountancy/customer/card.php
    Wysoka · 8.8 CVE-2020-14443 < 11.0.5 11.0.5
  28. Incorrect Authorization in Dolibarr
    Wysoka · 8.8 CVE-2020-12669 < 12.0.0 12.0.0
  29. Dolibarr Cross-Site Request Forgery Vulnerability
    Wysoka · 8.8 CVE-2020-11825 <= 10.0.6 brak poprawki
  30. Dolibarr Cross-site Scripting via the qty parameter in product/fournisseurs.php
    Krytyczna · 9.8 CVE-2019-19212 >= 3.0, <= 10.0.3 brak poprawki
  31. Dolibarr ERP and CRM SQLi
    Wysoka · 7.5 CVE-2019-19209 < 10.0.3 10.0.3
  32. Dolibarr Improper Restriction of Excessive Authentication Attempts
    Krytyczna · 9.8 CVE-2020-7995 = 10.0.6 brak poprawki
  33. Dolibarr Cross-Site Request Forgery (CSRF)
    Wysoka · 8.0 CVE-2019-15062 >= 10.0, < 10.0.2 10.0.2
  34. Dolibarr ERP and CRM malicious executable loading
    Wysoka · 8.8 CVE-2019-11200 < 9.0.3 9.0.3
  35. Dolibarr ERP and CRM Code Injection
    Wysoka · 8.0 CVE-2019-11201 < 9.0.3 9.0.3
  36. Dolibarr Cross Site Request Forgery (CSRF)
    Wysoka · 8.8 CVE-2019-1010054 = 7.0.0 brak poprawki
  37. Dolibarr SQL Injection in doli/theme/eldy/style.css.php via the lang parameter
    Krytyczna · 9.8 CVE-2017-7886 = 4.0.4 brak poprawki
  38. Dolibarr ERP and CRM Insecure Encryption
    Krytyczna · 9.8 CVE-2017-7888 <= 4.0.4 brak poprawki
  39. Dolibarr ERP and CRM SQLi
    Krytyczna · 9.8 CVE-2017-9435 < 5.0.3 5.0.3
  40. Dolibarr ERP and CRM Unsafe File Upload Vulnerability
    Wysoka · 8.8 CVE-2017-9840 <= 5.0.3 brak poprawki
  41. Dolibarr SQL injection vulnerability in admin/menus/edit.php
    Krytyczna · 9.8 CVE-2017-14238 < 6.0.1 6.0.1
  42. Dolibarr SQL injection vulnerability in don/list.php
    Krytyczna · 9.8 CVE-2017-14242 < 6.0.1 6.0.1
  43. Dolibarr ERP and CRM Sensitive Data Disclosure
    Wysoka · 7.5 CVE-2017-14240 < 6.0.1 6.0.1
  44. Dolibarr SQL injection vulnerability in comm/multiprix.php
    Krytyczna · 9.8 CVE-2017-17897 < 6.0.5 6.0.5
  45. Dolibarr SQL injection vulnerability in fourn/index.php
    Krytyczna · 9.8 CVE-2017-17900 < 6.0.5 6.0.5
  46. Dolibarr SQL injection vulnerability in adherents/subscription/info.php
    Krytyczna · 9.8 CVE-2017-17899 < 6.0.5 6.0.5
  47. Dolibarr sensitive information disclosure
    Wysoka · 7.5 CVE-2017-17898 < 6.0.5 6.0.5
  48. Dolibarr SQL injection via type parameter in product/stats/card.php
    Wysoka · 8.8 CVE-2017-9839 < 5.0.4 5.0.4
  49. Dolibarr SQL injection vulnerability
    Wysoka · 8.8 CVE-2017-18260 <= 7.0.0 brak poprawki
  50. Dolibarr SQL injection vulnerability
    Krytyczna · 9.8 CVE-2018-10094 < 7.0.2 7.0.2
  51. Dolibarr SQL injection vulnerability in product/card.php
    Krytyczna · 9.8 CVE-2018-13448 >= 7.0.3, < 7.0.4 7.0.4
  52. Dolibarr SQL injection vulnerability in product/card.php
    Krytyczna · 9.8 CVE-2018-13447 >= 7.0.3, < 7.0.4 7.0.4
  53. Dolibarr SQL injection vulnerability in product/card.php
    Krytyczna · 9.8 CVE-2018-13450 >= 7.0.3, < 7.0.4 7.0.4
  54. Dolibarr SQL injection vulnerability in product/card.php
    Krytyczna · 9.8 CVE-2018-13449 >= 7.0.3, < 7.0.4 7.0.4
  55. Dolibarr error-based SQL injection vulnerability in product/card.php
    Wysoka · 8.8 CVE-2018-19994 < 8.0.4 8.0.4
  56. Dolibarr SQL injection vulnerability in user/card.php
    Wysoka · 8.8 CVE-2018-19998 < 8.0.4 8.0.4
  57. Dolibarr SQL injection via the integer parameters qty and value_unit
    Krytyczna · 9.8 CVE-2018-16809 >= 3.8, <= 7.0.0 brak poprawki
  58. Dolibarr arbitrary commands execution
    Wysoka · 8.0 CVE-2018-10092 < 7.0.2 7.0.2
  59. Dolibarr SQL Injection vulnerability
    Krytyczna · 9.8 CVE-2018-9019 < 7.0.2 7.0.2
  60. SQL Injection in Dolibarr
    Wysoka · 8.8 CVE-2021-36625 < 14.0.0 14.0.0
Pokaż więcej (6) Widać 60 z 66

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.