Dolibarr 24.0.2 : ce qui change, et faut-il mettre à jour ?

La 24.0.2 est sortie le 2 octobre 2026. C’est une version de corrections : pas de nouvelle fonction, mais 260 correctifs dans le journal officiel, dont 28 qui touchent la sécurité et les droits d’accès.

En une phrase : si vous êtes en 24.0.0 ou 24.0.1, passez en 24.0.2. Si vous êtes en 23 ou avant, c’est un changement de version majeure : visez directement la 24.0.2, avec la méthode de Mettre à jour Dolibarr sans casse.

Qui doit mettre à jour, et pourquoi

• Vous êtes en 24.0.0 ou 24.0.1 : oui, sans attendre. Pour la sécurité d’abord (voir plus bas), et pour deux bugs qui bloquent le travail :
  • avec le journal inaltérable utilisé depuis une ancienne version, plus aucune facture ne pouvait être validée si sa clé était restée en clair en base. La 24.0.2 corrige ce cas : testé, la validation refonctionne et la clé est rechiffrée à la première facture validée ;
  • dans l’onglet Contacts d’un devis, d’une commande ou d’un projet, la recherche du tiers n’affichait que des traits (le détail ici).
• Vous êtes en 23 ou avant : la 24 change des choses qui comptent (variables des modèles, connexion à l’API par mot de passe coupée par défaut). Lisez la liste de contrôle avant de vous lancer, et visez la 24.0.2, pas la 24.0.0 ni la 24.0.1.
• Vous utilisez l’image Docker officielle : depuis le 24 octobre 2026, l’image 24.0.2 tourne sous PHP 8.5. Si un de vos modules externes ne le supporte pas encore, une variante 24.0.2-php8.2 existe. Tout est dans Mettre à jour Dolibarr sous Docker.

La sécurité : 28 corrections

C’est la vraie raison de mettre à jour. Le journal liste notamment :

• des pages de paiement (TVA, salaires, factures fournisseurs, dons) qui ne vérifiaient pas les droits de l’utilisateur ;
• des failles IDOR, où un utilisateur connecté pouvait lire ou modifier ce qui ne lui appartenait pas : congés, commentaires de projets, modèles de courriels ;
• plusieurs points de l’API REST qui ne vérifiaient pas que la ligne appartenait bien à l’objet, ou ignoraient la restriction aux clients du commercial ;
• une faille SSRF possible dans l’import de calendriers externes ;
• des pages publiques qui acceptaient des envois alors que la fonction était désactivée, ou affichaient le chemin des fichiers sur le serveur.

Si votre Dolibarr est accessible depuis Internet, ces corrections suffisent à justifier la mise à jour.

Les corrections qui se voient au quotidien

Parmi les 260, celles-ci changent la vie de beaucoup d’utilisateurs :

• Prix d’achat multiplié par 1000 quand le séparateur de milliers est un point (#40657).
• Date de la prochaine facture récurrente décalée quand le serveur est en avance sur l’heure UTC (#41210).
• Prix par quantité et par niveau : activer ou désactiver les prix par quantité remplaçait le prix du niveau par le prix par défaut (#41197).
• Sauvegarde des documents qui embarquait tous les anciens dumps de la base, et sauvegarde .zst écrite sans compression (#40631, #40336).
• SIREN ou SIRET collé avec ses espaces et tronqué (#39679).
• Journal des ventes qui ne gardait que le dernier acompte quand une facture en consommait plusieurs (#40375).
• Réceptions brouillon comptées comme reçues à la validation d’une réception (#41002).
• Modèle de facture Octopus : le tableau de TVA par taux affichait toujours 0 %.

Sept corrections de cette version ont été signalées et écrites par Dolix : le champ « Privé » des modèles de courriel, le cadre de l’émetteur sur le logo des PDF de commande, le filtre par défaut de la liste des propositions, la liste des tiers vide, la traduction des descriptions de produits dans les PDF, les objets liés dans les PDF de projet, et le compte bancaire des paiements divers clonés.

Et ensuite : la prochaine 24.0.x

Au 30 octobre 2026, 433 commits de correction attendent déjà dans la branche 24.0 du dépôt officiel (une partie concerne l’outillage du projet, pas Dolibarr lui-même). Ils sortiront avec la prochaine version de maintenance, dont la date n’est pas annoncée. On y trouve par exemple le journal de trésorerie en comptabilité de trésorerie (un règlement de plusieurs factures refusé comme « déjà enregistré »), l’écran vide de TakePOS à la première ouverture avec le contrôle de caisse, et les lignes sans prix après un sous-total sur les PDF.

Cette page sera complétée à la sortie de la prochaine version.

Comment ces informations ont été établies

• Les chiffres viennent du journal officiel des modifications de la 24.0.2 : 260 lignes, toutes des corrections. Les 28 corrections de sécurité sont celles dont l’intitulé parle de contrôle d’accès, d’IDOR, de SSRF, d’entité ou de droits non vérifiés.
• Le piège du journal inaltérable et la liste des tiers vide ont été testés sur des instances 24.0.1 et 24.0.2 neuves.
• Les commits de correction en attente sont comptés dans la branche 24.0 du dépôt officiel, après l’étiquette 24.0.2.

Se faire aider

Une mise à jour, même mineure, se joue sur votre outil de facturation. Le forfait Mise à jour sécurisée, à 390 € HT, la répète d’abord sur une copie de votre instance, vérifie vos factures, vos PDF et vos modules, puis bascule. Si vous ne savez pas par où commencer, le diagnostic à 90 € fait le point avec vous en une heure.