CVE-2026-81734
NieznaneStreszczenie
Brak autoryzacji w ProductEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na tworzenie, modyfikację lub usuwanie danych produktów, powiązań cech i kategorii poprzez bezpośrednie wywołanie zdarzeń szybkiej administracji katalogiem. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują zapisy bez sprawdzania uprawnień aktualizacji/tworzenia.
Ocena ryzyka
Atakujący może modyfikować dane katalogu produktów, co prowadzi do nieautoryzowanych zmian i potencjalnej utraty integralności danych.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.08, która naprawia tę podatność.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-82894Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowa autoryzacja w ContentWorker. Zdalny nieuwierzytelniony atakujący może wywołać dowolną usługę OFBiz z kontrolowanymi parametrami, uzyskując zapis i usuwanie plików oraz SSRF, poprzez żądanie publicznego widoku showHelpPublic dla wiersza Content, którego pole serviceName ustawił użytkownik z uprawnieniami CONTENTMGR_CREATE lub CONTENTMGR_UPDATE.
- CVE-2026-81828Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje SSRF w SurveyWrapper. Uwierzytelniony użytkownik back-office z uprawnieniami katalogowymi może ustawić dowolny URL jako lokalizację szablonu ankiety, powodując pobranie i wyrenderowanie adresów wewnętrznych, metadanych chmury lub plików lokalnych przez file://, a treść jest widoczna w odpowiedzi HTTP dla klientów.
- CVE-2026-81816Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje wstrzyknięcie XML External Entity (XXE) w ContentWorker. Uwierzytelniony atakujący z uprawnieniami autora treści może odczytać dowolne pliki serwera i wywołać SSRF, przechowując spreparowany zasób DataResource text/xml z deklaracją encji zewnętrznej, która jest przetwarzana przez domyślny parser FreeMarker bez ograniczeń DTD i encji zewnętrznych.
- CVE-2026-81815Nieznane
W Apache OFBiz 24.09 przed 24.09.08 na wdrożeniach z MySQL/MariaDB występuje wstrzyknięcie SQL w usłudze performFind silnika encji. Zdalny nieuwierzytelniony atakujący może ujawnić dowolne wiersze encji, wysyłając żądanie find z ignorowaniem wielkości liter (_ic=Y) ze spreparowaną wartością, ponieważ SqlJdbcUtil.addValueSingle wstawia wartość bezpośrednio do SQL, a podwajanie apostrofów jest niewystarczające przy interpretacji backslashy w MySQL/MariaDB.
- CVE-2026-81808Nieznane
Brak autoryzacji w ProductSearchEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na masową modyfikację powiązań kategorii i cech produktów poprzez zdarzenia mutacji wyników wyszukiwania. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują operacje zapisu bez sprawdzania uprawnień DELETE/CREATE.
- CVE-2026-81744Nieznane
Nieprawidłowa autoryzacja w ContentPermissionServices w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z ograniczonym uprawnieniem do tworzenia treści na samodzielne nadanie roli OWNER na dowolnej treści poprzez wywołanie usługi createContentRole. Kontrola uprawnień przechodzi do domyślnej gałęzi zezwalającej, gdy żaden wpis ContentPurposeOperation nie pasuje do żądanej operacji.
- CVE-2026-76152Nieznane
Podatność path traversal i brak kontroli autoryzacji w usługach imageCrop i imageRotate w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na odczyt dowolnych plików możliwych do przetworzenia jako obrazy oraz zapis przetworzonego obrazu do dowolnego katalogu z prawem zapisu procesu OFBiz. Wykorzystuje spreparowane parametry productId i imageName.
- CVE-2026-76150Nieznane
Podatność path traversal i brak kontroli autoryzacji w usłudze replaceImageToExistImage w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na nadpisanie dowolnych plików z prawem zapisu procesu OFBiz zawartością zakodowaną w JPEG. Wykorzystuje spreparowane parametry productId, dataResourceNameExist i dataResourceNameReplace.
- CVE-2026-74841Nieznane
W wdrożeniach multitenant ContextFilter i LoginWorker budowały nazwę delegatora dla dzierżawcy na podstawie parametru userTenantId dostarczonego w żądaniu i żądały delegatora przed potwierdzeniem istnienia dzierżawcy. Wewnętrzny cache DelegatorFactory przechowuje każdą nazwę delegatora, w tym te, które nie zostały rozwiązane, więc nieuwierzytelniony atakujący może wysyłać strumień dowolnych identyfikatorów dzierżawców, aby nieograniczenie powiększać ten cache.
- CVE-2026-73580Nieznane
Brak kontroli autoryzacji w usłudze getHRChild w Apache OFBiz do 24.09.07 pozwala zdalnemu nieuwierzytelnionemu atakującemu na rekurencyjne wyliczenie danych organizacji i pracowników zasobów ludzkich, w tym nazw i identyfikatorów działów, stanowisk, identyfikatorów pracowników, zajmowanych stanowisk i relacji organizacyjnych. Wykorzystuje spreparowany parametr partyId.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization in ProductEvents in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only catalog view permission to create, modify, or remove arbitrary product, product feature association, and product category association data by directly invoking catalog quick-admin events such as updateProductQuickAdminShipping, causing the servlet to authorize the request against the base view-level permission declared on the request-map while the underlying event methods perform entity-engine writes without checking the catalog update/create permission enforced by equivalent sibling event methods in the same class. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS