Résumé
Vulnérabilité dans Dolibarr (CVE-2026-71505). Les données peuvent être altérées par des attaquants.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Dolibarr before 24.0.0 contains a broken object-level authorization vulnerability in the REST API third-party site account write routes that allows authenticated attackers with third-party creation rights to overwrite the WebPortal password of any company by bypassing per-object access checks that are only enforced on read routes. Attackers can replace the victim company's WebPortal password through the write endpoint, authenticate as that company to access its invoice data, and also obtain the victim's previous password verifier from the API response.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-71505 a été découverte dans dolibarr.
Les données peuvent être altérées par des attaquants. Score CVSS : 7.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « dolibarr CVE-2026-71505 » sur le site de l'éditeur.
CVE-2026-71505 (dolibarr) — CWE-639 / CVSS v3 7.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
DolibarrのREST APIにおけるオブジェクトレベルの認可欠陥。
バージョン24.0.0未満のDolibarrのREST APIの第三者作成権限のある経路。
攻撃者が企業のWebポータルパスワードを上書きすることで、不正アクセスとデータ取得が可能。
Dolibarrをバージョン24.0.0にアップデートする。
情報なし
サーバーログを確認し、不審なREST APIアクセスを検出する。