Une faille d'autorisation critique touchant Dolibarr permet la lecture non authentifiée de fichiers sensibles

Une faille d'élévation de privilèges par contournement d'autorisation a été identifiée dans le logiciel de gestion d'entreprise Dolibarr. Référencée sous l'identifiant CVE-2026-89013, elle est associée à un score CVSS de 8,7, ce qui la classe comme une vulnérabilité de gravité élevée. Les sources de sécurité Sploitus et Vulners ont tous deux répertorié un proof-of-concept fonctionnel dès le 11 septembre 2026.

Mécanisme technique

Le défaut réside dans le traitement du paramètre `hashp` par les fichiers `document.php` et `viewimage.php` de Dolibarr. Lorsque ce paramètre contient la valeur `shared`, le mécanisme interne de résolution des jetons de partage est contourné. Cependant, la vérification de contrôle d'accès continue de s'activer pour toute valeur non vide, forçant la variable `$accessallowed` à 1 et ignorant le résultat de la fonction `dolchecksecureaccessdocument`. En pratique, cela signifie qu'une requête non authentifiée peut lire n'importe quel fichier appartenant aux arborescences `modulepart` de l'application.

Périmètre d'impact

Les fichiers accessibles sans authentification incluent les documents commerciaux, les journaux d'administration, les sauvegardes SQL (via `modulepart=systemtools`), les sources de modules personnalisés (`modulepart=packages`) ainsi que les données d'autres entités multicompany via le paramètre `&entity=N`. Il convient de noter que le franchissement de répertoires via `../` est assaini côté serveur : il s'agit donc d'un contournement d'autorisation et non d'une traversée de chemin.

Origine et régression

La vulnérabilité est une régression introduite par le commit 5028dae981e du 12 août 2026, déployée pour la première fois dans les versions 23.0.4 et 24.0.0 de Dolibarr. La correction est disponible dans la version 24.0.1.

Détection et exploitation

Les sources consultées décrivent un script Python (`CVE-2026-89013.py`) permettant de vérifier l'existence de la vulnérabilité et d'énumérer les arborescences `modulepart` accessibles. La détection peut être effectuée de manière sûre à l'aide d'un fichier canari inexistant. Les sources indiquent que l'exploitation permet notamment de découvrir des fichiers `dolibarr.log` et des sauvegardes SQL générées par le système.

Contexte et incertitudes

Les deux sources de sécurité ayant répertorié cette faille sont des flux RSS spécialisés qui agrègent des informations provenant de dépôts publics. Aucune confirmation officielle de l'éditeur de Dolibarr n'a été observée dans les matériaux fournis. La nature exacte des données les plus sensibles pouvant être exposées dépend de la configuration spécifique de chaque installation. Les utilisateurs de versions affectées sont invités à consulter les canaux officiels de Dolibarr pour obtenir les instructions de mise à jour vers la version 24.0.1.

---

**Sources croisées** : Sploitus.com Exploits RSS Feed et Vulners.com RSS Feed, tous deux publiés le 11 septembre 2026.