¿Qué es la vulnerabilidad?
El CVE-2026-125754 es una vulnerabilidad de referencia directa a objeto insegura (IDOR) en los endpoints de pagos de reportes de gastos del archivo api_expensereports.class.php de Dolibarr. Permite a usuarios autenticados acceder, crear o modificar pagos de reportes de gastos de otros usuarios.
Productos y versiones afectadas
Las versiones afectadas de Dolibarr son:
- Desde la 20.0.0 hasta la 23.0.4
- Versiones 24.x anteriores a la 24.0.2
¿Cómo funciona el ataque?
Un atacante con permisos básicos de lectura y creación de reportes de gastos puede llamar a funciones como getAllPayments, getPayments, addPayment o updatePayment para falsificar el estado de reembolsos y manipular pagos que no le corresponden.
Impacto y severidad
La vulnerabilidad tiene una calificación CVSS de 7.1 (HIGH) y está clasificada como CWE-639. No se encuentra actualmente en el catálogo CISA KEV de vulnerabilidades explotadas activamente.
| CVE | CVE-2026-125754 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.1 / 10 |
| CWE | CWE-639 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.