CVE-2026-81815
NieznaneStreszczenie
W Apache OFBiz 24.09 przed 24.09.08 na wdrożeniach z MySQL/MariaDB występuje wstrzyknięcie SQL w usłudze performFind silnika encji. Zdalny nieuwierzytelniony atakujący może ujawnić dowolne wiersze encji, wysyłając żądanie find z ignorowaniem wielkości liter (_ic=Y) ze spreparowaną wartością, ponieważ SqlJdbcUtil.addValueSingle wstawia wartość bezpośrednio do SQL, a podwajanie apostrofów jest niewystarczające przy interpretacji backslashy w MySQL/MariaDB.
Ocena ryzyka
Możliwe jest nieuwierzytelnione ujawnienie danych z bazy, co może prowadzić do wycieku informacji biznesowych.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.08.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-82894Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowa autoryzacja w ContentWorker. Zdalny nieuwierzytelniony atakujący może wywołać dowolną usługę OFBiz z kontrolowanymi parametrami, uzyskując zapis i usuwanie plików oraz SSRF, poprzez żądanie publicznego widoku showHelpPublic dla wiersza Content, którego pole serviceName ustawił użytkownik z uprawnieniami CONTENTMGR_CREATE lub CONTENTMGR_UPDATE.
- CVE-2026-81828Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje SSRF w SurveyWrapper. Uwierzytelniony użytkownik back-office z uprawnieniami katalogowymi może ustawić dowolny URL jako lokalizację szablonu ankiety, powodując pobranie i wyrenderowanie adresów wewnętrznych, metadanych chmury lub plików lokalnych przez file://, a treść jest widoczna w odpowiedzi HTTP dla klientów.
- CVE-2026-81816Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje wstrzyknięcie XML External Entity (XXE) w ContentWorker. Uwierzytelniony atakujący z uprawnieniami autora treści może odczytać dowolne pliki serwera i wywołać SSRF, przechowując spreparowany zasób DataResource text/xml z deklaracją encji zewnętrznej, która jest przetwarzana przez domyślny parser FreeMarker bez ograniczeń DTD i encji zewnętrznych.
- CVE-2026-81808Nieznane
Brak autoryzacji w ProductSearchEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na masową modyfikację powiązań kategorii i cech produktów poprzez zdarzenia mutacji wyników wyszukiwania. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują operacje zapisu bez sprawdzania uprawnień DELETE/CREATE.
- CVE-2026-81744Nieznane
Nieprawidłowa autoryzacja w ContentPermissionServices w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z ograniczonym uprawnieniem do tworzenia treści na samodzielne nadanie roli OWNER na dowolnej treści poprzez wywołanie usługi createContentRole. Kontrola uprawnień przechodzi do domyślnej gałęzi zezwalającej, gdy żaden wpis ContentPurposeOperation nie pasuje do żądanej operacji.
- CVE-2026-81734Nieznane
Brak autoryzacji w ProductEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na tworzenie, modyfikację lub usuwanie danych produktów, powiązań cech i kategorii poprzez bezpośrednie wywołanie zdarzeń szybkiej administracji katalogiem. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują zapisy bez sprawdzania uprawnień aktualizacji/tworzenia.
- CVE-2026-76152Nieznane
Podatność path traversal i brak kontroli autoryzacji w usługach imageCrop i imageRotate w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na odczyt dowolnych plików możliwych do przetworzenia jako obrazy oraz zapis przetworzonego obrazu do dowolnego katalogu z prawem zapisu procesu OFBiz. Wykorzystuje spreparowane parametry productId i imageName.
- CVE-2026-76150Nieznane
Podatność path traversal i brak kontroli autoryzacji w usłudze replaceImageToExistImage w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na nadpisanie dowolnych plików z prawem zapisu procesu OFBiz zawartością zakodowaną w JPEG. Wykorzystuje spreparowane parametry productId, dataResourceNameExist i dataResourceNameReplace.
- CVE-2026-74841Nieznane
W wdrożeniach multitenant ContextFilter i LoginWorker budowały nazwę delegatora dla dzierżawcy na podstawie parametru userTenantId dostarczonego w żądaniu i żądały delegatora przed potwierdzeniem istnienia dzierżawcy. Wewnętrzny cache DelegatorFactory przechowuje każdą nazwę delegatora, w tym te, które nie zostały rozwiązane, więc nieuwierzytelniony atakujący może wysyłać strumień dowolnych identyfikatorów dzierżawców, aby nieograniczenie powiększać ten cache.
- CVE-2026-73580Nieznane
Brak kontroli autoryzacji w usłudze getHRChild w Apache OFBiz do 24.09.07 pozwala zdalnemu nieuwierzytelnionemu atakującemu na rekurencyjne wyliczenie danych organizacji i pracowników zasobów ludzkich, w tym nazw i identyfikatorów działów, stanowisk, identyfikatorów pracowników, zajmowanych stanowisk i relacji organizacyjnych. Wykorzystuje spreparowany parametr partyId.
Oryginalny opis (angielski, źródło NVD)
SQL Injection in the entity engine's generic performFind service in Apache OFBiz 24.09 before 24.09.08 on MySQL/MariaDB-backed deployments allows a remote unauthenticated attacker to disclose arbitrary rows from the queried entity by submitting an ignore-case find request (e.g. _ic=Y) with a crafted value, causing SqlJdbcUtil.addValueSingle to inline the EntityFunction-wrapped value directly into the SQL text using ANSI-only single-quote doubling instead of binding it as a parameter, which is insufficient on MySQL/MariaDB because those dialects also honor backslash escapes, letting a backslash-terminated payload break out of the string literal and turn the WHERE clause into a tautology. The default Derby datasource and PostgreSQL are not affected because they do not interpret backslash as an escape character in this context. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS