JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031235 Dolibarr 21.0.0から24.0.0未満のバージョンには、htdocs/core/actions_massactions.inc.php内のclonetasks一括処理ハンドラにおいて、プライベートプロジェクトメンバーシップチェックのブール条件が逆転しているため認可回避が発生する脆弱性が含まれています。プロジェクト作成権限を持つ認証済みユーザーが、対象のプライベートプロジェクトへのアクセス権を持っていなくても、誤った!in_array()チェックを悪用し、未許可のプライベートプロジェクトにタスクをクローンすることが可能です。 cpe:/a:dolibarr:dolibarr_erp%2Fcrm https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031235.html Common Vulnerabilities and Exposures (CVE) CVE-2026-77923 https://www.cve.org/CVERecord?id=CVE-2026-77923 National Vulnerability Database (NVD) CVE-2026-77923 https://nvd.nist.gov/vuln/detail/CVE-2026-77923 JVNDB CWE-863 https://cwe.mitre.org/data/definitions/863.html VulnCheck Dolibarr 21.0.0 < 24.0.0 Authorization Bypass via clonetasks Mass Action | Advisories | VulnCheck https://www.vulncheck.com/advisories/dolibarr-authorization-bypass-via-clonetasks-mass-action 関連文書 Release 24.0.0 Dolibarr/dolibarr GitHub https://github.com/Dolibarr/dolibarr/releases/tag/24.0.0 関連文書 Fix AISLE-2026-0340-0086 Authorization bypass in clonetasks: private Dolibarr/dolibarr@1730aa5 GitHub https://github.com/Dolibarr/dolibarr/commit/1730aa56675b31cfede895fdae55b673d887fb8f 2026-09-01T17:09:25+09:00 2026-09-01T17:09:25+09:00