dolibarr
Quels droits vérifier sur les remboursements Dolibarr après l’alerte CVE-2026-125754 ?
Un compte autorisé à créer une note de frais peut-il modifier le remboursement d’un autre salarié ? L’avis CVE-2026-125754, publié le 10 novembre 2026, décrit ce défaut de contrôle dans l’API REST de Dolibarr. Pour une entreprise qui rapproche ses remboursements avec la comptabilité, l’enjeu est de vérifier les droits et la cohérence des écritures après la mise à jour.
By Laurent LOUIS-THERESE ·
Quels Dolibarr sont concernés ?
La fiche CVE publiée par VulnCheck couvre les versions 20.0.0 à 23.0.4 incluses et les versions 24.0.0 et 24.0.1. Elle évalue la gravité à 7,1 sur 10. Sur une instance affectée, un utilisateur authentifié qui dispose de droits de lecture et de création des notes de frais peut, via l’API, lire ou modifier des informations de paiement hors de son périmètre. Le risque concerne notamment l’état du remboursement enregistré dans l’ERP.
La branche 24 intègre le correctif à partir de 24.0.2. Les paquets officiels 24.0.3 sont disponibles depuis le 10 novembre. Pour une installation plus ancienne, vérifiez les prérequis et préparez la migration sur une copie de l’ERP, avec les extensions effectivement utilisées.
Vérifier les droits sur un dossier de test
Commencez par identifier la version installée, les comptes qui utilisent l’API REST et les applications qui appellent les fonctions de paiement des notes de frais. Si aucun outil externe n’utilise ces fonctions, examinez avec l’administrateur si les droits correspondants sont encore nécessaires.
Sur une copie de recette, créez deux profils représentatifs. Avec un compte de saisie, vérifiez qu’il peut gérer les notes qui lui sont attribuées et que l’API refuse l’accès aux remboursements d’un autre utilisateur. Avec le compte chargé de la comptabilité, vérifiez que le paiement attendu reste possible. Dans une installation multi-entité, reproduisez aussi les limites entre entités lorsque le paramétrage le prévoit.
Contrôler le flux jusqu’à la comptabilité
Avant la mise à niveau, sauvegardez la base de données et les documents et vérifiez que vous savez les restaurer. Après la migration, faites passer une note fictive par tout le circuit, de la saisie au rapprochement. Contrôlez les montants, les statuts, les exports et les éventuels appels aux modules internes.
Si des remboursements semblent incohérents, conservez les journaux disponibles et rapprochez les opérations avec les justificatifs et les écritures. Cette vérification permet d’établir ce qui s’est passé sur votre instance.
Pour préparer une mise à niveau ou vérifier les droits de vos intégrations Dolibarr, échangez avec BCSIRT.