CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 2CVE-2022-22293
https://notcve.org/view.php?id=CVE-2022-22293
01 Jan 2022 — admin/limits.php in Dolibarr 7.0.2 allows HTML injection, as demonstrated by the MAIN_MAX_DECIMALS_TOT parameter. El archivo admin/limits.php en Dolibarr versión 7.0.2, permite una inyección de HTML, como lo demuestra el parámetro MAIN_MAX_DECIMALS_TOT. • https://github.com/Dolibarr/dolibarr/issues/20237 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 2%CPEs: 1EXPL: 3CVE-2021-33618 – Dolibarr ERP / CRM 13.0.2 Cross Site Scripting
https://notcve.org/view.php?id=CVE-2021-33618
10 Nov 2021 — Dolibarr ERP and CRM 13.0.2 allows XSS via object details, as demonstrated by > and < characters in the onpointermove attribute of a BODY element to the user-management feature. Dolibarr ERP y CRM versión 13.0.2, permite un ataque de tipo XSS por medio de detalles de objetos, como es demostrado por los caracteres ) y ( en el atributo onpointermove de un elemento BODY de la función de administración de usuarios Dolibarr ERP and CRM version 13.0.2 suffer from a persistent cross site scripting vulnerability. • https://packetstorm.news/files/id/164922 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 2%CPEs: 1EXPL: 4CVE-2021-33816 – Dolibarr ERP / CRM 13.0.2 Remote Code Execution
https://notcve.org/view.php?id=CVE-2021-33816
10 Nov 2021 — The website builder module in Dolibarr 13.0.2 allows remote PHP code execution because of an incomplete protection mechanism in which system, exec, and shell_exec are blocked but backticks are not blocked. El módulo de creación de sitios web en Dolibarr versión 13.0.2, permite una ejecución de código remota PHP debido a un mecanismo de protección incompleto en el que system, exec y shell_exec están bloqueados pero los backticks no lo están Dolibarr ERP and CRM version 13.0.2 suffer from a remote code execut... • https://packetstorm.news/files/id/164923 • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 7.2EPSS: 0%CPEs: 3EXPL: 0CVE-2021-25956 – Improper User Access Control in "Dolibarr" Leads to Account Takeover
https://notcve.org/view.php?id=CVE-2021-25956
17 Aug 2021 — In “Dolibarr” application, v3.3.beta1_20121221 to v13.0.2 have “Modify” access for admin level users to change other user’s details but fails to validate already existing “Login” name, while renaming the user “Login”. This leads to complete account takeover of the victim user. This happens since the password gets overwritten for the victim user having a similar login name. En la aplicación "Dolibarr", versiones v3.3.beta1_20121221 a v13.0.2, los usuarios de nivel de administrador presentan acceso a la funci... • https://github.com/Dolibarr/dolibarr/commit/c4cba43bade736ab89e31013a6ccee59a6e077ee • CWE-284: Improper Access Control •
CVSS: 9.0EPSS: 8%CPEs: 1EXPL: 1CVE-2020-35136
https://notcve.org/view.php?id=CVE-2020-35136
23 Dec 2020 — Dolibarr 12.0.3 is vulnerable to authenticated Remote Code Execution. An attacker who has the access the admin dashboard can manipulate the backup function by inserting a payload into the filename for the zipfilename_template parameter to admin/tools/dolibarr_export.php. Dolibarr versión 12.0.3, es vulnerable a una Ejecución de Código Remota autenticada. Un atacante que tenga acceso al panel de administración puede manipular la función de copia de seguridad al insertar una carga útil en el nombre de ar... • http://bilishim.com/2020/12/18/zero-hunting-2.html • CWE-88: Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2020-13828
https://notcve.org/view.php?id=CVE-2020-13828
31 Aug 2020 — Dolibarr 11.0.4 is affected by multiple stored Cross-Site Scripting (XSS) vulnerabilities that could allow remote authenticated attackers to inject arbitrary web script or HTML via ticket/card.php?action=create with the subject, message, or address parameter; adherents/card.php with the societe or address parameter; product/card.php with the label or customcode parameter; or societe/card.php with the alias or barcode parameter. Dolibarr versión 11.0.4, está afectado por múltiples vulnerabilidades de tipo Cr... • https://www.wizlynxgroup.com/security-research-advisories/vuln/WLX-2020-002 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-14475
https://notcve.org/view.php?id=CVE-2020-14475
19 Jun 2020 — A reflected cross-site scripting (XSS) vulnerability in Dolibarr 11.0.3 allows remote attackers to inject arbitrary web script or HTML into public/notice.php (related to transphrase and transkey). Una vulnerabilidad de tipo cross-site scripting (XSS) reflejado en Dolibarr versión 11.0.3, permite a atacantes remotos inyectar script web o HTML arbitrario en el archivo public/notice.php (relacionado con transphrase y transkey) • https://github.com/Dolibarr/dolibarr/commit/22ca5e067189bffe8066df26df923a386f044c08 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 1CVE-2020-13239
https://notcve.org/view.php?id=CVE-2020-13239
20 May 2020 — The DMS/ECM module in Dolibarr 11.0.4 renders user-uploaded .html files in the browser when the attachment parameter is removed from the direct download link. This causes XSS. El módulo DMS/ECM en Dolibarr versión 11.0.4, permite a un usuario cargar archivos .html en el navegador cuando el parámetro attachment es eliminado del enlace de descarga directo. Esto causa un ataque de tipo XSS. • https://www.dubget.com/stored-xss-via-file-upload.html • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.5EPSS: 0%CPEs: 1EXPL: 1CVE-2020-13240
https://notcve.org/view.php?id=CVE-2020-13240
20 May 2020 — The DMS/ECM module in Dolibarr 11.0.4 allows users with the 'Setup documents directories' permission to rename uploaded files to have insecure file extensions. This bypasses the .noexe protection mechanism against XSS. El módulo DMS/ECM en Dolibarr versión 11.0.4, permite a usuarios con el permiso "Setup documents directories" renombrar archivos cargados para tener extensiones de archivo no seguras. Esto omite el mecanismo de protección de .noexe contra el ataque de tipo XSS. • https://www.dubget.com/stored-xss-via-file-upload.html • CWE-276: Incorrect Default Permissions CWE-668: Exposure of Resource to Wrong Sphere •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 1CVE-2020-11825
https://notcve.org/view.php?id=CVE-2020-11825
16 Apr 2020 — In Dolibarr 10.0.6, forms are protected with a CSRF token against CSRF attacks. The problem is any CSRF token in any user's session can be used in another user's session. CSRF tokens should not be valid in this situation. En Dolibarr versión 10.0.6, los formularios están protegidos con un token CSRF contra ataques de tipo CSRF. El problema es que cualquier token CSRF en la sesión de cualquier usuario puede ser usado en la sesión de otro usuario. • https://fatihhcelik.blogspot.com/2020/04/dolibarr-csrf.html • CWE-352: Cross-Site Request Forgery (CSRF) •