CVE-2026-81808
NieznaneStreszczenie
Brak autoryzacji w ProductSearchEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na masową modyfikację powiązań kategorii i cech produktów poprzez zdarzenia mutacji wyników wyszukiwania. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują operacje zapisu bez sprawdzania uprawnień DELETE/CREATE.
Ocena ryzyka
Atakujący może masowo modyfikować dane katalogu produktów, co prowadzi do nieautoryzowanych zmian i potencjalnej utraty integralności danych biznesowych.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.08, która naprawia tę podatność.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-82894Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowa autoryzacja w ContentWorker. Zdalny nieuwierzytelniony atakujący może wywołać dowolną usługę OFBiz z kontrolowanymi parametrami, uzyskując zapis i usuwanie plików oraz SSRF, poprzez żądanie publicznego widoku showHelpPublic dla wiersza Content, którego pole serviceName ustawił użytkownik z uprawnieniami CONTENTMGR_CREATE lub CONTENTMGR_UPDATE.
- CVE-2026-81828Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje SSRF w SurveyWrapper. Uwierzytelniony użytkownik back-office z uprawnieniami katalogowymi może ustawić dowolny URL jako lokalizację szablonu ankiety, powodując pobranie i wyrenderowanie adresów wewnętrznych, metadanych chmury lub plików lokalnych przez file://, a treść jest widoczna w odpowiedzi HTTP dla klientów.
- CVE-2026-81816Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje wstrzyknięcie XML External Entity (XXE) w ContentWorker. Uwierzytelniony atakujący z uprawnieniami autora treści może odczytać dowolne pliki serwera i wywołać SSRF, przechowując spreparowany zasób DataResource text/xml z deklaracją encji zewnętrznej, która jest przetwarzana przez domyślny parser FreeMarker bez ograniczeń DTD i encji zewnętrznych.
- CVE-2026-81815Nieznane
W Apache OFBiz 24.09 przed 24.09.08 na wdrożeniach z MySQL/MariaDB występuje wstrzyknięcie SQL w usłudze performFind silnika encji. Zdalny nieuwierzytelniony atakujący może ujawnić dowolne wiersze encji, wysyłając żądanie find z ignorowaniem wielkości liter (_ic=Y) ze spreparowaną wartością, ponieważ SqlJdbcUtil.addValueSingle wstawia wartość bezpośrednio do SQL, a podwajanie apostrofów jest niewystarczające przy interpretacji backslashy w MySQL/MariaDB.
- CVE-2026-81744Nieznane
Nieprawidłowa autoryzacja w ContentPermissionServices w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z ograniczonym uprawnieniem do tworzenia treści na samodzielne nadanie roli OWNER na dowolnej treści poprzez wywołanie usługi createContentRole. Kontrola uprawnień przechodzi do domyślnej gałęzi zezwalającej, gdy żaden wpis ContentPurposeOperation nie pasuje do żądanej operacji.
- CVE-2026-81734Nieznane
Brak autoryzacji w ProductEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na tworzenie, modyfikację lub usuwanie danych produktów, powiązań cech i kategorii poprzez bezpośrednie wywołanie zdarzeń szybkiej administracji katalogiem. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują zapisy bez sprawdzania uprawnień aktualizacji/tworzenia.
- CVE-2026-76152Nieznane
Podatność path traversal i brak kontroli autoryzacji w usługach imageCrop i imageRotate w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na odczyt dowolnych plików możliwych do przetworzenia jako obrazy oraz zapis przetworzonego obrazu do dowolnego katalogu z prawem zapisu procesu OFBiz. Wykorzystuje spreparowane parametry productId i imageName.
- CVE-2026-76150Nieznane
Podatność path traversal i brak kontroli autoryzacji w usłudze replaceImageToExistImage w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na nadpisanie dowolnych plików z prawem zapisu procesu OFBiz zawartością zakodowaną w JPEG. Wykorzystuje spreparowane parametry productId, dataResourceNameExist i dataResourceNameReplace.
- CVE-2026-74841Nieznane
W wdrożeniach multitenant ContextFilter i LoginWorker budowały nazwę delegatora dla dzierżawcy na podstawie parametru userTenantId dostarczonego w żądaniu i żądały delegatora przed potwierdzeniem istnienia dzierżawcy. Wewnętrzny cache DelegatorFactory przechowuje każdą nazwę delegatora, w tym te, które nie zostały rozwiązane, więc nieuwierzytelniony atakujący może wysyłać strumień dowolnych identyfikatorów dzierżawców, aby nieograniczenie powiększać ten cache.
- CVE-2026-73580Nieznane
Brak kontroli autoryzacji w usłudze getHRChild w Apache OFBiz do 24.09.07 pozwala zdalnemu nieuwierzytelnionemu atakującemu na rekurencyjne wyliczenie danych organizacji i pracowników zasobów ludzkich, w tym nazw i identyfikatorów działów, stanowisk, identyfikatorów pracowników, zajmowanych stanowisk i relacji organizacyjnych. Wykorzystuje spreparowany parametr partyId.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization in ProductSearchEvents in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only catalog view permission to bulk-modify product category and feature associations across arbitrary search results by seeding a broad product search and then invoking search-result mutation events such as searchRemoveFromCategory, searchExpireFromCategory, searchAddToCategory, searchAddFeature, and searchRemoveFeature, causing the servlet to authorize the request against only the base view-level permission declared on the request-map while the underlying event methods perform bulk entity-engine deletes/inserts without checking the DELETE/CREATE permission enforced by the equivalent service-layer operations (e.g. removeProductFromCategory). Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS