CVE-2026-89013 in Dolibarr
Zusammenfassung
von VulDB • 11.09.2026
Dolibarr 23.0.4 vor Version 24.0.1 enthält eine Schwachstelle zur Umgehung der Autorisierung (Authorization Bypass), die es nicht authentifizierten Angreifern ermöglicht, beliebige Dateien über die Dokumentenspeicher-Endpunkte zu lesen, indem ein manipulierter Wert für den Parameter `hashp` übermittelt wird. Angreifer können eine Anfrage mit `hashp=shared` senden, um die Token-Validierung zu überspringen und gleichzeitig die Autorisierungsbedingung in `htdocs/document.php` und `htdocs/viewimage.php` zu erfüllen, wodurch sie Zugriff auf Anwendungsprotokolle (Application Logs), hochgeladene Geschäftsunterlagen, Datenbank-Sicherungen mit Passwort-Hashes sowie Dateien anderer Multicompany-Entitäten erhalten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.