CVE-2026-34036 : faille de lecture de fichiers dans Dolibarr

Ce que décrit l'avis de sécurité

Un avis de sécurité publié sur le dépôt GitHub de Dolibarr décrit une inclusion de fichier local, authentifiée, dans le point d'entrée AJAX selectobject.php. Elle porte l'identifiant CVE-2026-34036. Sa sévérité est qualifiée de moyenne. Le chercheur indique l'avoir constatée sur Dolibarr 22.0.4. Le principe : un utilisateur connecté, même sans droit particulier, peut faire lire au serveur des fichiers qui ne sont pas du PHP. L'avis cite à titre d'exemples des fichiers de configuration, des sauvegardes ou des journaux. Le contenu de ces fichiers peut alors apparaître dans la réponse du serveur. Nous ne détaillons pas ici la méthode, et ce n'est pas nécessaire pour agir. Retenez l'essentiel : il suffit d'un compte valide, pas d'un compte administrateur. Pour une PME, cela inclut les comptes de salariés, de stagiaires, de prestataires ou d'anciens collaborateurs dont l'accès n'a pas été fermé.

Pourquoi un compte ordinaire suffit

L'avis identifie deux défauts qui se cumulent. Le premier : le script charge un fichier avant d'avoir vérifié les droits de l'utilisateur. Le second : la fonction centrale de contrôle d'accès, restrictedArea(), laisse passer la demande lorsqu'aucune fonctionnalité n'est précisée, au lieu de la refuser. Résultat, la requête se termine normalement et aucune erreur d'autorisation n'est renvoyée. L'avis précise que les fichiers PHP provoquent une erreur fatale avant l'affichage de leur code. Les fichiers texte, eux, peuvent être restitués : fichiers de configuration du serveur web, exports SQL, fichiers JSON. Le risque porte donc sur la confidentialité. L'avis évoque la divulgation d'informations d'infrastructure, de versions installées, de journaux oubliés ou de sauvegardes de base de données, pouvant préparer d'autres attaques. Un export laissé dans un dossier accessible au serveur devient alors un vrai sujet.

Versions : ce que disent les sources

Soyons précis sur ce que nous savons. L'avis mentionne un test sur Dolibarr 22.0.4, publiée le 24 décembre 2025. Il ne liste pas, dans l'extrait dont nous disposons, les versions corrigées ni l'ensemble des versions touchées. Nous ne pouvons donc pas vous affirmer qu'une version précise contient le correctif. Les dernières versions publiées à ce jour sont la 23.0.0 du 5 mars 2026 et la 22.0.4. Pour la branche 21, la dernière est la 21.0.4, et pour la 18, la 18.0.8. La démarche raisonnable consiste à consulter l'avis officiel, dont le lien figure plus bas, puis à vérifier dans les notes de version quelle publication reprend le correctif pour votre branche. En cas de doute, considérez votre instance comme exposée tant que vous n'avez pas confirmé le contraire. Si vous êtes sur une version ancienne, cette alerte s'ajoute à d'autres raisons de mettre à jour.

Ce que vous pouvez faire dès aujourd'hui

Même sans connaître la version corrigée exacte, plusieurs actions réduisent le risque immédiatement. Elles ne remplacent pas la mise à jour, mais elles limitent ce qu'un compte ordinaire pourrait lire. Commencez par ce qui dépend de vous : les comptes utilisateurs et le contenu du serveur.

• Désactivez les comptes inutilisés, en particulier ceux des anciens salariés et des prestataires dont la mission est terminée.
• Cherchez sur le serveur les sauvegardes, exports SQL, archives et journaux laissés dans l'arborescence de l'application, et déplacez-les hors de la racine web.
• Vérifiez qui dispose d'un compte et à quel titre, puis supprimez les accès qui ne sont plus justifiés.
• Consultez l'avis officiel et les notes de version pour identifier la publication qui corrige la faille sur votre branche.
• Planifiez la mise à jour sur un environnement de test avant de la passer en production.

Mettre à jour sans prendre de risque

Une mise à jour de sécurité se prépare, même quand elle est urgente. Faites une sauvegarde complète de la base et des fichiers, y compris du dossier documents et de vos modules personnalisés. Testez ensuite sur une copie : connexion, création d'un devis, génération d'un PDF, fonctionnement de vos modules. Si vous êtes sur une version majeure ancienne, passer directement à la dernière peut demander plus de préparation, notamment pour la compatibilité des modules externes. Notre module gratuit et open source DolicraftUpgrade automatise la sauvegarde avant opération, les vérifications préalables et le retour en arrière en cas d'échec, pour les versions 16 à 23 de Dolibarr. Vous trouvez la fiche sur DolicraftUpgrade. Pour le contexte de la dernière version majeure, voyez aussi notre article sur les nouveautés de Dolibarr 23. Un bon réflexe : mettre à jour d'abord la copie de test, puis seulement ensuite la production.

Durcir l'instance au-delà de ce correctif

Cette faille rappelle un principe simple : un fichier sensible ne doit pas se trouver là où l'application peut le lire sans nécessité. Une instance bien tenue limite les dégâts même quand une vulnérabilité apparaît. Stockez les sauvegardes hors de l'arborescence de l'application. Protégez le dossier de configuration. Appliquez le principe du moindre privilège, avec des comptes distincts selon les rôles. Surveillez les journaux d'accès pour repérer des requêtes inhabituelles vers les points d'entrée AJAX. Nous avons détaillé ces mesures dans notre article sécuriser votre instance Dolibarr en production. Elles ne remplacent pas la mise à jour, mais elles réduisent ce qu'un compte malveillant ou compromis pourrait obtenir. Si votre instance est accessible depuis Internet, ces vérifications sont d'autant plus utiles. Une instance limitée à un réseau interne ou à un VPN réduit l'exposition, sans la supprimer pour autant.

Prochaine étape : faire le point sur votre version

Ouvrez votre instance, notez la version affichée et comparez-la aux publications listées plus haut. Puis lisez l'avis de sécurité officiel pour vérifier si votre branche est concernée et quelle version la corrige. Si vous n'avez pas de temps ou de serveur de test, nous pouvons prendre en charge la mise à jour et la vérification des modules dans le cadre de notre service de maintenance. Pour un diagnostic de votre instance, vous pouvez aussi nous écrire via la page de contact. Indiquez votre version de Dolibarr, votre type d'hébergement et la liste de vos modules externes. Avec ces trois éléments, nous pouvons vous dire rapidement ce qu'il faut faire et dans quel ordre.