CVE-2026-81729 in Dolibarr
الملخص
بحسب VulDB • 27/08/2026
تسمح Dolibarr قبل الإصدار 23.0.4 بحذف مستندات واجهة برمجة التطبيقات (REST API) بشكل غير صحيح بسبب أذونات خاطئة. تستدعي الدالة `Documents::delete()` الموجودة في الملف `htdocs/api/class/api_documents.class.php` دالة التحقق من الأمان `dol_check_secure_access_document()` مع تمرير وسيطة الوضع (`mode`) بقيمة 'read' عند معالجة طلب الحذف عبر المسار `/api/index.php/documents`. بينما يمرر المسار المتعلق بـ `builddoc()` القيمة 'write'، وهي القيمة الصحيحة لأي عملية تعدّل البيانات المخزنة. وبالتالي، يمكن لمستخدم واجهة برمجة التطبيقات (API) المصادق عليه والذي يمتلك فقط إذن قراءة لوحدة تحتوي على مستندات (مثل societe:lire أو facture:lire)، ولا يملك أي أذونات إنشاء أو كتابة أو حذف أو إدارة، تجاوز هذا الفحص والقيام بحذف دائم لمستندات تلك الوحدة: ملفات الأطراف الثالثة، والفواتير، والطلبات، والعروض، وملفات المشاريع، والملفات PDF المُولَّدة، دون وجود مسار لاستعادة البيانات. تم تصحيح موقع الاستدعاء في الملف `htdocs/api/class/api_documents.class.php` عند السطر 1276 في الإصدار 23.0.3، حيث يتم تمرير القيمة 'write' بدءاً من الإصدار 23.0.4 وما بعده.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.