CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2017-9435
https://notcve.org/view.php?id=CVE-2017-9435
Dolibarr ERP/CRM before 5.0.3 is vulnerable to a SQL injection in user/index.php (search_supervisor and search_statut parameters). El ERP/CRM Dolibarr anterior a versión 5.0.3, es vulnerable a una inyección SQL en el archivo user/index.php (parámetros search_supervisor y search_statut). • https://github.com/Dolibarr/dolibarr/blob/develop/ChangeLog https://github.com/Dolibarr/dolibarr/commit/70636cc59ffa1ffbc0ce3dba315d7d9b837aad04 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 3CVE-2016-1912
https://notcve.org/view.php?id=CVE-2016-1912
Multiple cross-site scripting (XSS) vulnerabilities in Dolibarr ERP/CRM 3.8.3 allow remote authenticated users to inject arbitrary web script or HTML via the (1) lastname, (2) firstname, (3) email, (4) job, or (5) signature parameter to htdocs/user/card.php. Múltiples vulnerabilidades de XSS en Dolibarr ERP/CRM 3.8.3 permiten a usuarios remotos autenticados inyectar secuencias de comandos web o HTML arbitrarios a través del parámetro (1) lastname, (2) firstname, (3) email, (4) job o (5) signature en htdocs/user/card.php. • http://packetstormsecurity.com/files/135201/Dolibarr-3.8.3-Cross-Site-Scripting.html http://www.information-security.fr/xss-dolibarr-version-3-8-3 https://github.com/Dolibarr/dolibarr/issues/4341 https://github.com/GPCsolutions/dolibarr/commit/0d3181324c816bdf664ca5e1548dfe8eb05c54f8 https://twitter.com/MickaelDorigny/status/684456187870457857 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 2CVE-2015-8685 – dolibarr HTML Injection
https://notcve.org/view.php?id=CVE-2015-8685
Multiple cross-site scripting (XSS) vulnerabilities in Dolibarr ERP/CRM 3.8.3 and earlier allow remote attackers to inject arbitrary web script or HTML via the (1) external calendar url or (2) the bank name field in the "import external calendar" page. Múltiples vulnerabilidades de XSS en Dolibarr ERP/CRM 3.8.3 y versiones anteriores permiten a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través de (1) la url de calendario externa o (2) el campo bank name en la página "import external calendar". dolibarr versions prior to 3.8.3 suffer from an html injection vulnerability. • http://packetstormsecurity.com/files/135256/dolibarr-HTML-Injection.html http://seclists.org/fulldisclosure/2016/Jan/40 https://github.com/Dolibarr/dolibarr/issues/4291 https://github.com/GPCsolutions/dolibarr/commit/0d3181324c816bdf664ca5e1548dfe8eb05c54f8 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.3EPSS: 1%CPEs: 2EXPL: 3CVE-2015-3935 – Dolibarr 3.5 / 3.6 HTML Injection
https://notcve.org/view.php?id=CVE-2015-3935
Multiple cross-site scripting (XSS) vulnerabilities in Dolibarr ERP/CRM 3.5 and 3.6 allow remote attackers to inject arbitrary web script or HTML via the Business Search (search_nom) field to (1) htdocs/societe/societe.php or (2) htdocs/societe/admin/societe.php. Múltiples vulnerabilidades de XSS en Dolibarr ERP/CRM 3.5 y 3.6 permiten a atacantes remotos inyectar secuencias de comandos web o HTML arbitrarios a través del campo Business Search (search_nom) para (1) htdocs/societe/societe.php o (2) htdocs/societe/admin/societe.php. Dolibarr versions 3.5 and 3.6 suffer from an html injection vulnerability. • http://packetstormsecurity.com/files/132108/Dolibarr-3.5-3.6-HTML-Injection.html http://seclists.org/fulldisclosure/2015/May/126 http://www.securityfocus.com/bid/74926 https://github.com/Dolibarr/dolibarr/issues/2857 https://github.com/GPCsolutions/dolibarr/commit/a7f6bbd316e9b96216e9b2c7a065c9251c9a8907 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 2CVE-2014-7137 – Dolibarr ERP And CRM 3.5.3 SQL Injection
https://notcve.org/view.php?id=CVE-2014-7137
Multiple SQL injection vulnerabilities in Dolibarr ERP/CRM before 3.6.1 allow remote authenticated users to execute arbitrary SQL commands via the (1) contactid parameter in an addcontact action, (2) ligne parameter in a swapstatut action, or (3) project_ref parameter to projet/tasks/contact.php; (4) lineid parameter in a deletecontact action, (5) ligne parameter in a swapstatut action, or (6) ref parameter to projet/contact.php; (7) id parameter to compta/bank/fiche.php, (8) contact/info.php, (9) holiday/index.php, (10) product/stock/fiche.php, (11) product/stock/info.php, or (12) in an edit action to product/stock/fiche.php; (13) productid parameter in an addline action to product/stock/massstockmove.php; (14) project_ref parameter to projet/tasks/note.php; (15) ref parameter to element.php, (16) ganttview.php, (17) note.php, or (18) tasks.php in projet/; (19) sall or (20) sref parameter to comm/mailing/liste.php; (21) search_bon, (22) search_ligne, (23) search_societe, or (24) search_code parameter to compta/prelevement/liste.php; (25) search_label parameter to compta/sociales/index.php; (26) search_project parameter to projet/tasks/index.php; (27) search_societe parameter to compta/prelevement/demandes.php; (28) search_statut parameter to user/index.php; (29) socid parameter to compta/recap-compta.php, (30) societe/commerciaux.php, or (31) societe/rib.php; (32) sortorder, (33) sref, (34) sall, or (35) sortfield parameter to product/stock/liste.php; (36) statut parameter to adherents/liste.php or (37) compta/dons/liste.php; (38) tobuy or (39) tosell parameter to product/liste.php; (40) tobuy, (41) tosell, (42) search_categ, or (43) sref parameter to product/reassort.php; (44) type parameter to product/index.php; or the (a) sortorder or (b) sortfield parameter to (45) compta/paiement/cheque/liste.php, (46) compta/prelevement/bons.php, (47) compta/prelevement/rejets.php, (48) product/stats/commande.php, (49) product/stats/commande_fournisseur.php, (50) product/stats/contrat.php, (51) product/stats/facture.php, (52) product/stats/facture_fournisseur.php, (53) product/stats/propal.php, or (54) product/stock/replenishorders.php. Múltiples vulnerabilidades de inyección SQL en Dolibarr ERP/CRM anterior a versión 3.6.1, permiten a los usuarios autenticados remotos ejecutar comandos SQL arbitrarios por medio del (1) parámetro contactid en una acción addcontact, (2) parámetro ligne en una acción swapstatut, o (3) parámetro project_ref en el archivo projet/tasks/contact.php; (4) parámetro lineid en una acción deletecontact, (5) parámetro ligne en una acción swapstatut, o (6) parámetro ref en el archivo projet/contact.php; (7) parámetro id en el archivo compta/bank/fiche.php, (8) contact/info.php, (9) holiday/index.php, (10) product/stock/fiche.php, (11) product/stock/info.php, o (12) en una acción edit en el archivo product/stock/fiche.php; (13) parámetro productid en una acción addline en el archivo product/stock/massstockmove.php; (14) parámetro project_ref en el archivo projet/tasks/note.php; (15) parámetro ref en el archivo element.php, (16) ganttview.php, (17) note.php, o (18) tasks.php en projet/; parámetro (19) sall o (20) sref en el archivo comm/mailing/liste.php; parámetro (21) search_bon, (22) search_ligne, (23) search_societe o (24) search_code en el archivo compta/prelevement/liste.php; (25) parámetro search_label en el archivo compta/social/index.php; (26) parámetro search_project en el archivo projet/tasks/index.php; (27) parámetro search_societe en el archivo compta/prelevement/demandes.php; (28) parámetro search_statut en el archivo user/index.php; (29) parámetro socid en el archivo compta/recap-compta.php, (30) societe/commerciaux.php, o (31) societe/rib.php; parámetro (32) sortorder, (33) sref, (34) sall, o (35) sortfield en el archivo product/stock/liste.php; (36) parámetro statut en el archivo adherents/liste.php o (37) compta/dons/liste.php; parámetro (38) tobuy o (39) tosell en el archivo product/liste.php; parámetro (40) tobuy, (41) tosell, (42) search_categ o (43) sref en el archivo product/reassort.php; (44) parámetro type en el archivo product/index.php; o el parámetro (a) sortorder o (b) sortfield en el archivo (45) compta/paiement/cheque/liste.php, (46) compta/prelevement/bons.php, (47) compta/prelevement/rejets.php, (48) product/stats/commande.php, (49) product/stats/commande_fournisseur.php, (50) product/stats/contrat.php, (51) product/stats/facture.php, (52) product/stats/facture_fournisseur.php, (53) product/stats/propal.php, o (54) product/stock/replenishorders.php. Dolibarr ERP and CRM version 3.5.3 suffers from multiple remote SQL injection vulnerabilities. • http://packetstormsecurity.com/files/129175/Dolibarr-ERP-And-CRM-3.5.3-SQL-Injection.html http://seclists.org/fulldisclosure/2014/Nov/56 http://www.securityfocus.com/archive/1/534020/100/0/threaded http://www.securityfocus.com/bid/71189 https://www.portcullis-security.com/security-research-and-downloads/security-advisories/cve-2014-7137 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •