CVE-2026-82633 in Dolibarr
要約
〜によって VulDB • 2026年08月30日
Dolibarrのバージョン10.0.0から24.0.0未満では、Users::getGroups REST APIエンドポイントにおいてオブジェクトごとの認可チェックが実行されないため、認証済みユーザーは他のユーザーのグループ所属情報を取得できます。攻撃者は任意のユーザー識別子を使用して GET /users/{id}/groups を呼び出すことで、テナント境界を越えてグループ名、エンティティ関連付け、およびプライベートなノートにアクセスすることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.