FICHE CVE

CVE-2026-19930

Publiée le 2026-08-16 · Dernière modification le 2026-08-20

🇫🇷 EN BREF

Les installations de Dolibarr ERP/CRM jusqu'à la version 23.0.3 sont affectées par une faille d'injection LDAP dans la fonctionnalité de clonage d'utilisateurs. Un attaquant disposant d'un compte utilisateur avec des privilèges limités peut manipuler à distance un argument d'ID spécifique pour potentiellement divulguer ou modifier des informations au sein de l'annuaire LDAP connecté. Cette opération est relativement facile à exécuter via un réseau, et du code d'exploitation public est déjà disponible.

CVSS 4.02.1 FAIBLE

Type de faiblesse

Injection · CWE-74 CWE-90

Publiée2026-08-16

Dernière modification2026-08-20

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A security flaw has been discovered in Dolibarr up to 23.0.3. Affected is an unknown function of the file htdocs/user/card.php of the component User Cloning. The manipulation of the argument ID results in ldap injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. The patch is identified as 798e65356ede03c2812ab1a728f23fae34de5592. It is advisable to implement a patch to correct this issue.