Dolibarr 24.0.2: was sich ändert und ob sich das Update lohnt

Die 24.0.2 ist am 2. Oktober 2026 erschienen. Es ist eine Wartungsversion: keine neue Funktion, aber 260 Korrekturen im offiziellen ChangeLog, davon 28 zur Sicherheit und zu den Zugriffsrechten.

In einem Satz: Wenn Sie auf 24.0.0 oder 24.0.1 sind, wechseln Sie auf 24.0.2. Sind Sie auf 23 oder älter, ist es ein Wechsel der Hauptversion: Gehen Sie direkt auf die 24.0.2, mit der Methode aus Dolibarr-Update ohne Ausfälle.

Wer aktualisieren sollte und warum

• Sie sind auf 24.0.0 oder 24.0.1: ja, jetzt. Zuerst wegen der Sicherheit (siehe unten), und wegen zweier Fehler, die die Arbeit blockieren:
  • mit dem unveränderbaren Protokoll, das seit einer älteren Version genutzt wird, ließ sich keine Rechnung mehr freigeben, wenn dessen Schlüssel unverschlüsselt in der Datenbank lag. Die 24.0.2 behebt diesen Fall: getestet, die Freigabe funktioniert wieder und der Schlüssel wird bei der ersten freigegebenen Rechnung verschlüsselt;
  • im Reiter Kontakte eines Angebots, eines Auftrags oder eines Projekts zeigte die Suche nach dem Geschäftspartner nur Striche (Details hier).
• Sie sind auf 23 oder älter: Die 24 ändert Wichtiges (Variablen der Vorlagen, API-Anmeldung per Passwort standardmäßig abgeschaltet). Lesen Sie die Checkliste vor dem Start und zielen Sie auf die 24.0.2, nicht auf 24.0.0 oder 24.0.1.
• Sie nutzen das offizielle Docker-Image: Seit dem 24. Oktober 2026 läuft das Image 24.0.2 unter PHP 8.5. Unterstützt eines Ihrer externen Module das noch nicht, gibt es die Variante 24.0.2-php8.2. Alles steht in Dolibarr unter Docker aktualisieren.

Sicherheit: 28 Korrekturen

Das ist der eigentliche Grund für das Update. Das ChangeLog nennt insbesondere:

• Zahlungsseiten (Umsatzsteuer, Gehälter, Lieferantenrechnungen, Spenden), die die Rechte des Benutzers nicht prüften;
• IDOR-Lücken, über die ein angemeldeter Benutzer lesen oder ändern konnte, was ihm nicht gehörte: Urlaube, Projektkommentare, E-Mail-Vorlagen;
• mehrere Punkte der REST-API, die nicht prüften, ob eine Zeile zum Objekt gehört, oder die Beschränkung auf die Kunden des Vertriebsmitarbeiters ignorierten;
• eine mögliche SSRF-Lücke beim Import externer Kalender;
• öffentliche Seiten, die Eingaben annahmen, obwohl die Funktion abgeschaltet war, oder den Pfad von Dateien auf dem Server zeigten.

Ist Ihr Dolibarr aus dem Internet erreichbar, rechtfertigen diese Korrekturen allein das Update.

Die Korrekturen, die man im Alltag merkt

Unter den 260 ändern diese den Alltag vieler Benutzer:

• Einkaufspreis mal 1000, wenn das Tausendertrennzeichen ein Punkt ist (#40657).
• Nächstes Datum wiederkehrender Rechnungen verschoben, wenn der Server UTC voraus ist (#41210).
• Preise nach Menge und nach Preisstufe: Das Ein- oder Ausschalten der Mengenpreise ersetzte den Preis der Stufe durch den Standardpreis (#41197).
• Dokumentensicherung, die alle früheren Datenbank-Dumps mitnahm, und .zst-Sicherung ohne Kompression geschrieben (#40631, #40336).
• Berufliche Kennung mit Leerzeichen eingefügt und abgeschnitten, etwa SIREN oder SIRET (#39679).
• Verkaufsjournal, das nur die letzte Anzahlung behielt, wenn eine Rechnung mehrere verbrauchte (#40375).
• Wareneingänge im Entwurf als erhalten gezählt bei der Freigabe eines Wareneingangs (#41002).
• Rechnungsvorlage Octopus: Die Umsatzsteuertabelle nach Satz zeigte immer 0 %.

Sieben Korrekturen dieser Version wurden von Dolix gemeldet und geschrieben: das Feld „Privat“ der E-Mail-Vorlagen, der Absenderblock über dem Logo auf Auftrags-PDFs, der Standardfilter der Angebotsliste, die leere Geschäftspartnerliste, die Übersetzung von Produktbeschreibungen in PDFs, die verknüpften Objekte in Projekt-PDFs und das Bankkonto geklonter sonstiger Zahlungen.

Wie es weitergeht: die nächste 24.0.x

Am 30. Oktober 2026 warten bereits 433 Korrektur-Commits im Zweig 24.0 des offiziellen Repositorys (ein Teil betrifft die Werkzeuge des Projekts, nicht Dolibarr selbst). Sie erscheinen mit der nächsten Wartungsversion, deren Datum nicht angekündigt ist. Darunter zum Beispiel das Kassenjournal in der Ist-Buchhaltung (eine Zahlung mehrerer Rechnungen als „bereits erfasst“ abgelehnt), der leere TakePOS-Bildschirm beim ersten Öffnen mit Kassenkontrolle und Zeilen ohne Preis nach einer Zwischensumme auf PDFs.

Diese Seite wird beim Erscheinen der nächsten Version ergänzt.

Wie diese Angaben ermittelt wurden

• Die Zahlen stammen aus dem offiziellen ChangeLog der 24.0.2: 260 Zeilen, ausschließlich Korrekturen. Die 28 Sicherheitskorrekturen sind diejenigen, deren Titel Zugriffskontrolle, IDOR, SSRF, Entität oder nicht geprüfte Rechte nennt.
• Die Falle des unveränderbaren Protokolls und die leere Geschäftspartnerliste wurden auf neuen Instanzen 24.0.1 und 24.0.2 getestet.
• Die ausstehenden Korrektur-Commits sind im Zweig 24.0 des offiziellen Repositorys gezählt, nach dem Tag 24.0.2.

Hilfe holen

Ein Update, auch ein kleines, läuft auf Ihrem Rechnungswerkzeug. Das Paket Abgesichertes Update zu 390 € netto probt es zuerst auf einer Kopie Ihrer Instanz, prüft Ihre Rechnungen, PDFs und Module und schaltet dann um. Wenn Sie nicht wissen, wo Sie anfangen sollen, klärt die Diagnose für 90 € das in einer Stunde mit Ihnen.