从该网页截图中可以获取到以下关于漏洞的关键信息： 漏洞概述 CVE编号: CVE-2025-69634 漏洞名称: Privilege Escalation Vulnerability in Dolibarr ERP & CRM 22.0.9 问题类型: PrivEsc (HTML injection + CSRF) 版本影响: 22.0.9 (可能影响所有22.版本，但未测试) 漏洞影响 受影响区域及严重性: - 访问控制完整性: 严重 - 权限提升: 严重 - 管理账户接管: 严重 CVSS v3.1 评分**: 9.0 — 严重 (AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H) 根源分析 状态变更操作通过HTTP GET执行 CSRF令牌暴露在URL中 HTML注入发生在用户控制的字段中 在权限修改前没有确认步骤 漏洞利用 低权限用户可以注入HTML，在管理员点击后立即获得管理员权限 缓解措施（建议供应商采取） 将所有权限变更操作更改为POST请求 从URL中移除CSRF令牌，存储在POST请求体中 在管理员权限变更时添加确认对话框 添加 对HTML渲染上下文进行额外验证 受影响版本 22.0.9 补丁版本：待定 披露时间表 2025-12-03: 漏洞发现 2025-12-04: 报告发送给Dolibarr安全团队 2025-12-09: 报告提交给技术负责人 2025-12-16: 请求CVE至MITRE（供应商未回复） 待定：修复方案开发并发布 2026-02-05: CVE编号分配 待定：允许公开披露 致谢 研究员: Simone Biondi