Unknown · Dolibarr Erp/Crm · CVE-2026-107706
**Nome do Software Vulnerável e Versões Afetadas**
Dolibarr ERP CRM versões anteriores a 24.0.2
**Description**
Um problema de autorização incorreta existe no endpoint 'htdocs/core/ajax/updateextrafield.php'. O sistema verifica apenas permissões de leitura antes de permitir a modificação de valores de extrafields. Consequentemente, usuários autenticados com acesso apenas de leitura podem enviar requisições POST utilizando os parâmetros `objectType`, `objectId`, `field` e `value` para modificar persistentemente extrafields de terceiros, produtos, membros, projetos ou contatos visualizáveis.
**Recommendations**
Atualize para a versão 24.0.2 ou posterior.
Como mitigação temporária, restrinja o acesso ao endpoint 'htdocs/core/ajax/updateextrafield.php' para usuários com permissões apenas de leitura.