CVE-2026-107706
Vulnérabilité moyenne dans dolibarr (Dolibarr)
CVSS 5.3 · Moyenne
EPSS 0.2%
Dolibarr•dolibarr•Versions : <24.0.2, 24.0.2, 0
Description
Dolibarr ERP CRM before 24.0.2 contains an incorrect authorization vulnerability in htdocs/core/ajax/updateextrafield.php that checks only read permission before writing extrafield values. Authenticated users with read-only access can POST objectType, objectId, field and value parameters to persistently modify extrafields on viewable third parties, products, members, projects or contacts.
Gravité et risque d'exploitation
CVE-2026-107706 obtient un score CVSS de 5.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.20 %, ce qui la place devant 8.7 % des CVE référencées.
Que faire ?
- Vérifiez si dolibarr (versions <24.0.2, 24.0.2, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/Dolibarr/dolibarr/commit/3420d17b199059ac22fca8b59f23cb8962fc8ef8
- https://github.com/Dolibarr/dolibarr
- https://github.com/Dolibarr/dolibarr/blob/24.0.1/htdocs/core/ajax/updateextrafield.php#L80
- https://www.vulncheck.com/advisories/dolibarr-before-24.0.2-incorrect-authorization-via-updateextrafield-php