Dolibarr before 24.0.0 contains an improper authorization vulnerability in the payments REST API...
Résumé
Dolibarr before 24.0.0 contains an improper authorization vulnerability in the payments REST API...
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Dolibarr before 24.0.0 contains an improper authorization vulnerability in the payments REST API delete endpoint that allows authenticated attackers with invoice-deletion rights to permanently delete any payment record by bypassing the intended payment-issuance rights check. Attackers can exploit this misconfigured permission check to zero paid amounts on invoices and remove entries from accounting exports, causing financial data integrity loss.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-71506 a été découverte dans enterprise-saas.
Les données peuvent être altérées par des attaquants. Score CVSS : 8.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « enterprise-saas CVE-2026-71506 » sur le site de l'éditeur.
CVE-2026-71506 (enterprise-saas) — CWE-863 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
DolibarrのREST APIの支払い削除エンドポイントにおける不適切な認可の脆弱性
Dolibarrバージョン24.0.0未満の支払いREST API削除エンドポイント
攻撃者は支払い発行権限を回避して支払い記録を削除でき、財務データの整合性が失われる可能性があります。重要度が高いです。
Dolibarrをバージョン24.0.0にアップデートすることで修正されます。
情報なし
請求書削除権限が設定されているユーザーアカウントによる異常な支払い削除の監査ログを確認する。