CVE-2026-81729 in Dolibarr
요약
\~에 의해 VulDB • 2026. 08. 27.
Dolibarr 버전 23.0.4 이전에서는 REST API 문서 삭제 시 잘못된 권한이 허용됩니다. htdocs/api/class/api_documents.class.php의 Documents::delete() 메서드는 DELETE /api/index.php/documents 요청을 처리할 때 dol_check_secure_access_document()를 mode 인자 'read'로 호출합니다. 반면, sibling인 builddoc() 경로는 저장된 데이터를 수정하는 작업에 해당하는 올바른 모드인 'write'를 전달합니다. 따라서 societe:lire 또는 facture:lire와 같이 문서가 포함된 모듈에 대해 읽기 권한만 있고 생성, 쓰기, 삭제 또는 관리자 권한이 없는 인증된 API 사용자는 검사를 통과하여 해당 모듈의 문서(제3자 파일, 송장, 주문서, 제안서, 프로젝트 파일 및 생성된 PDF)를 복구 경로 없이 영구적으로 삭제할 수 있습니다. 호출 위치는 23.0.3 기준 htdocs/api/class/api_documents.class.php:1276이며, 버전 23.0.4부터 'write'가 전달됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.