CVE-2026-71505 in Dolibarr
要約
〜によって VulDB • 2026年08月24日
Dolibarr 24.0.0 より前には、REST API の third-party site account write ルートにおける broken object-level authorization（オブジェクトレベルの認可の不備）という脆弱性が存在し、third-party 作成権限を持つ認証済み攻撃者が、読み取りルートでのみ適用される per-object access checks を回避することで、任意の企業の WebPortal パスワードを上書きできます。攻撃者は書き込みエンドポイントを通じて被害者企業の WebPortal パスワードを置き換え、その企業として認証して請求書データにアクセスし、さらに API 応答から被害者の以前のパスワード検証子（password verifier）を取得することができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.