Iniciar sesión
Deutsch English Español Polski
Alta

Dolibarr Cross-Site Request Forgery (CSRF)

  • Publicada: 24.05.2022
  • Actualizado: 11.10.2026 10:22

An issue was discovered in Dolibarr. A user can store an IFRAME element (containing a user/card.php CSRF request) in his Linked Files settings page. When visited by the admin, this could completely take over the admin account. (The protection mechanism for CSRF is to check the Referer header; however, because the attack is from one of the application's own settings pages, this mechanism is bypassed.)

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer dolibarr/dolibarr >= 10.0, < 10.0.2 10.0.2

Referencias

Puntuación CVSS 8/10
Vector CVSS
CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-352
Plataforma
Composer
Paquete
dolibarr/dolibarr
Publicada
24.05.2022
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-4qq9-qg7j-fcm9 - CC BY 4.0

Historial de vulnerabilidades: dolibarr/dolibarr

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (126) en el archivo
Entradas en total
126
Primera → última
11.2019 06.2026
Sin corrección
49
Explotada en ataques
0

Distribución por gravedad

  • Crítica 27
  • Alta 38
  • Media 56
  • Baja 5

Divulgaciones por año

Gravedad:
  1. Dolibarr ERP CRM contains a remote code evaluation vulnerability
    Crítica · 9.8 CVE-2018-25357 >= 7.0.0, < 7.0.4, < 6.0.8 7.0.4, 6.0.8
  2. Dolibarr Allows Code Injection through its Website Module
    Alta · 8.8 CVE-2026-31018 <= 15.0.3 sin corrección
  3. Dolibarr user with permission to edit PHP content can bypass filtering to restrict dangerous PHP functions
    Alta · 8.8 CVE-2026-31019 <= 22.0.4 sin corrección
  4. Dolibarr: OS Command Injection (RCE) via MAIN_ODT_AS_PDF configuration
    Crítica · 9.1 CVE-2026-23500 <= 22.0.4 sin corrección
  5. Dolibarr has SQL injection vulnerability in the rowid parameter of the admin dict.php
    Alta · 8.2 CVE-2019-25710 <= 8.0.4 sin corrección
  6. Dolibarr vulnerable to RCE via the computed field parameter
    Alta · 8.8 CVE-2025-56588 < 21.0.3 21.0.3
  7. Dolibarr has Remote Code Execution Vulnerability (Bypass)
    Alta · 8.8 ghsa-49xw-hw94-fmv2 <= 21.0.2 sin corrección
  8. Dolibarr ERP CRM vulnerable to remote code execution (RCE)
    Alta · 5.5 CVE-2024-40137 < 19.0.2 19.0.2
  9. Dolibarr arbitrary file upload vulnerability
    Alta · 8.8 CVE-2024-37821 < 19.0.2 19.0.2
  10. Dolibarr vulnerable to SQL Injection
    Crítica · 9.1 CVE-2024-5315 <= 9.0.1 sin corrección
  11. Dolibarr vulnerable to SQL Injection
    Crítica · 9.1 CVE-2024-5314 <= 9.0.1 sin corrección
  12. Dolibarr Application Home Page has HTML injection vulnerability
    Alta · 7.1 CVE-2024-23817 >= 18.0.4, < 18.0.7 18.0.7
  13. Dolibarr vulnerable to Cross-Site Request Forgery
    Alta · 7.5 CVE-2024-31503 <= 19.0.0 sin corrección
  14. Dolibarr Improper Input Validation vulnerability
    Alta · 7.5 CVE-2023-4197 < 18.0.2 18.0.2
  15. File Upload vulnerability in Dolibarr ERP CRM
    Alta · 8.8 CVE-2023-38887 < 17.0.1 17.0.1
  16. Dolibarr allows a remote privileged attacker to execute arbitrary code via a crafted command/script
    Alta · 7.2 CVE-2023-38886 < 17.0.1 17.0.1
  17. Cross Site Scripting vulnerability in Dolibarr ERP CRM
    Crítica · 9.6 CVE-2023-38888 < 17.0.1 17.0.1
  18. Dolibarr vulnerable to unauthenticated database access
    Alta · 7.5 CVE-2023-33568 >= 16.0.0, < 16.0.5 16.0.5
  19. Dolibarr vulnerable to remote code execution via uppercase manipulation
    Alta · 8.8 CVE-2023-30253 < 17.0.1 17.0.1
  20. SQL injection in Dolibarr
    Crítica · 9.8 CVE-2022-4093 >= 16.0.1, < 16.0.3 16.0.3
  21. Dolibarr vulnerable to privilege escalation
    Crítica · 9.8 CVE-2022-43138 < 14.0.1 14.0.1
  22. Dolibarr vulnerable to Eval Injection
    Crítica · 9.8 CVE-2022-40871 <= 15.0.3 sin corrección
  23. Dolibarr remote PHP code execution
    Crítica · 9.8 CVE-2021-33816 >= 13.0.2, < 14.0.0 14.0.0
  24. Dolibarr authenticated Remote Code Execution
    Alta · 7.2 CVE-2020-35136 < 12.0.4 12.0.4
  25. Dolibarr Unrestricted Upload of File with Dangerous Type
    Alta · 8.8 CVE-2020-14209 < 11.0.5 11.0.5
  26. Dolibarr SQL injection vulnerability in accountancy/customer/card.php
    Alta · 8.8 CVE-2020-14443 < 11.0.5 11.0.5
  27. Incorrect Authorization in Dolibarr
    Alta · 8.8 CVE-2020-12669 < 12.0.0 12.0.0
  28. Dolibarr Cross-Site Request Forgery Vulnerability
    Alta · 8.8 CVE-2020-11825 <= 10.0.6 sin corrección
  29. Dolibarr Cross-site Scripting via the qty parameter in product/fournisseurs.php
    Crítica · 9.8 CVE-2019-19212 >= 3.0, <= 10.0.3 sin corrección
  30. Dolibarr ERP and CRM SQLi
    Alta · 7.5 CVE-2019-19209 < 10.0.3 10.0.3
  31. Dolibarr Improper Restriction of Excessive Authentication Attempts
    Crítica · 9.8 CVE-2020-7995 = 10.0.6 sin corrección
  32. Dolibarr Cross-Site Request Forgery (CSRF) esta entrada
    Alta · 8.0 CVE-2019-15062 >= 10.0, < 10.0.2 10.0.2
  33. Dolibarr ERP and CRM malicious executable loading
    Alta · 8.8 CVE-2019-11200 < 9.0.3 9.0.3
  34. Dolibarr ERP and CRM Code Injection
    Alta · 8.0 CVE-2019-11201 < 9.0.3 9.0.3
  35. Dolibarr Cross Site Request Forgery (CSRF)
    Alta · 8.8 CVE-2019-1010054 = 7.0.0 sin corrección
  36. Dolibarr SQL Injection in doli/theme/eldy/style.css.php via the lang parameter
    Crítica · 9.8 CVE-2017-7886 = 4.0.4 sin corrección
  37. Dolibarr ERP and CRM Insecure Encryption
    Crítica · 9.8 CVE-2017-7888 <= 4.0.4 sin corrección
  38. Dolibarr ERP and CRM SQLi
    Crítica · 9.8 CVE-2017-9435 < 5.0.3 5.0.3
  39. Dolibarr ERP and CRM Unsafe File Upload Vulnerability
    Alta · 8.8 CVE-2017-9840 <= 5.0.3 sin corrección
  40. Dolibarr SQL injection vulnerability in admin/menus/edit.php
    Crítica · 9.8 CVE-2017-14238 < 6.0.1 6.0.1
Mostrar más (20) Mostrando 40 de 65

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.