Vulnerabilidad en Dolibarr (CVE-2026-71509)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
24/08/2026
Última modificación:
12/10/2026
Descripción
Dolibarr anterior a la versión 24.0.0 contiene una vulnerabilidad de autorización impropia en el endpoint de actualización de la API REST del informe de gastos que permite a atacantes autenticados con derechos de creación de gastos eludir el flujo de trabajo de aprobación al establecer directamente el estado de aprobación y los campos de identidad del aprobador. Los atacantes pueden manipular los campos de estado del flujo de trabajo a través de la API REST para avanzar los informes de gastos a estado aprobado o cerrado sin poseer el derecho de aprobación dedicado, mientras que también crean inconsistencias forenses en los registros de auditoría debido a la falta de marcas de tiempo de aprobación.
Impacto
Puntuación base 4.0
7.10
Gravedad 4.0
ALTA
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Referencias a soluciones, herramientas e información
- https://codeant.ai/security-research/cve-2026-71509-dolibarr-mass-assignment-lets-users-self-approve-expenses
- https://github.com/Dolibarr/dolibarr/commit/9c4eb945321f823955879600e9dc58a44d249e44
- https://github.com/Dolibarr/dolibarr/releases/tag/24.0.0
- https://www.vulncheck.com/advisories/dolibarr-expense-report-rest-api-improper-authorization-via-update-endpoint