Dolibarr ERP/CRM CVE-2026-7806 Authorization Bypass to Delete Payments Advisory with POC

漏洞概述 CVE-2026-7806: Dolibarr Payment Deletion via Incorrect Authorization Dolibarr ERP/CRM 存在一个权限绕过漏洞，允许攻击者删除其他用户的付款记录。该漏洞源于系统在处理付款删除请求时，未正确验证用户是否拥有对特定付款记录的删除权限。攻击者可以通过构造特定的 HTTP 请求，绕过权限检查，从而删除任意用户的付款记录。 影响范围 受影响版本: Dolibarr ERP/CRM 18.0.0 至 20.0.3 影响组件: 模块 影响功能: 付款记录的删除操作 修复方案 1. 更新版本: 升级到 Dolibarr ERP/CRM 的最新版本，以获取最新的安全补丁。 2. 权限验证: 在代码中增加对付款记录删除操作的权限验证，确保只有具有相应权限的用户才能执行删除操作。 3. 代码审查: 对现有代码进行安全审查，识别并修复类似的权限绕过漏洞。 利用代码（POC） 其他信息 报告日期: 2026-05-10 披露日期: 2026-05-10 CVSS 评分: 7.5 (High) CVSS 向量: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N 常见问题解答 Q: 什么是 CVE-2026-7806？ - A: CVE-2026-7806 是 Dolibarr ERP/CRM 中的一个权限绕过漏洞，允许攻击者删除其他用户的付款记录。 Q: 哪些版本的 Dolibarr 受影响？ - A: Dolibarr ERP/CRM 18.0.0 至 20.0.3 版本受影响。 Q: 如何修复此漏洞？ - A: 升级到最新版本的 Dolibarr ERP/CRM，并在代码中增加对付款记录删除操作的权限验证。 Q: 此漏洞是否已被利用？ - A: 目前尚无公开证据表明此漏洞已被广泛利用，但建议尽快修复以防止潜在风险。 Q: 如何检测系统是否受影响？ - A: 检查 Dolibarr 的版本号，如果版本在 18.0.0 至 20.0.3 之间，则可能受影响。 Q: 是否有临时缓解措施？ - A: 在升级之前，可以通过限制对 模块的访问权限来减少风险。 更多信息 相关链接: - Dolibarr 官方网站 - CVE 详情 联系方式: - 报告此漏洞的联系人: security@dolibarr.org --- 注意: 以上信息基于页面内容整理，具体细节请参考官方文档和安全公告。

目標達成 すべての支援者に感謝 — 100%達成しました！

Dolibarr ERP/CRM CVE-2026-7806 Authorization Bypass to Delete Payments Advisory with POC

目標達成すべての支援者に感謝 — 100%達成しました！