CVE-2026-107706

Nome do Software Vulnerável e Versões Afetadas Dolibarr ERP CRM versões anteriores a 24.0.2

Description Um problema de autorização incorreta existe no endpoint 'htdocs/core/ajax/updateextrafield.php'. O sistema verifica apenas permissões de leitura antes de permitir a modificação de valores de extrafields. Consequentemente, usuários autenticados com acesso apenas de leitura podem enviar requisições POST utilizando os parâmetros objectType, objectId, field e value para modificar persistentemente extrafields de terceiros, produtos, membros, projetos ou contatos visualizáveis.

Recommendations Atualize para a versão 24.0.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'htdocs/core/ajax/updateextrafield.php' para usuários com permissões apenas de leitura.