Summary
Vulnerability in Dolibarr (CVE-2026-71504). Confidential information can be exposed externally.
Original description
The description as published by the source.
Dolibarr before 24.0.0 contains an improper authorization vulnerability in the Members REST API that allows attackers with only member-creation rights to reset the password of any user account, including the system administrator, without verifying password-change permissions. Attackers can supply an arbitrary user account identifier and new password in the request body to overwrite credentials and immediately lock out the legitimate account holder.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Dolibarrのバージョン24.0.0未満において、メンバーREST APIに不適切な認可脆弱性が存在します。この脆弱性により、メンバー作成権限のみを持つ攻撃者が、任意のユーザーアカウントのパスワードを無許可でリセットし、正当なアカウント保持者を即座にロックアウトすることが可能です。これは、システム管理者のアカウントも含まれます。
Dolibarr のメンバーREST APIにおける不適切な認可の脆弱性。
Dolibarr バージョン24.0.0未満の製品。
攻撃者が任意のユーザーアカウントのパスワードを無許可でリセットすることができるため、管理者アカウントも含めて正当な保持者をロックアウト可能です。
Dolibarrをバージョン24.0.0にアップデートしてください。
特になし。
APIアクセスログを監視し、異常なパスワードリセットリクエストの有無を確認します。