CVE-2026-83542
KrytyczneCVSS 9.8Streszczenie
W Apache OFBiz 24.09 przed 24.09.08 wykryto podatność Code Injection. Zdalny nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze poprzez przygotowanie złośliwego XML widgetu w uploadzie multipart i nadpisanie mainDecoratorLocation, co prowadzi do oceny niesandboxowanego wyrażenia Groovy.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia systemu bez konieczności logowania.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.08, która naprawia tę podatność.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-82894Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowa autoryzacja w ContentWorker. Zdalny nieuwierzytelniony atakujący może wywołać dowolną usługę OFBiz z kontrolowanymi parametrami, uzyskując zapis i usuwanie plików oraz SSRF, poprzez żądanie publicznego widoku showHelpPublic dla wiersza Content, którego pole serviceName ustawił użytkownik z uprawnieniami CONTENTMGR_CREATE lub CONTENTMGR_UPDATE.
- CVE-2026-81828Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje SSRF w SurveyWrapper. Uwierzytelniony użytkownik back-office z uprawnieniami katalogowymi może ustawić dowolny URL jako lokalizację szablonu ankiety, powodując pobranie i wyrenderowanie adresów wewnętrznych, metadanych chmury lub plików lokalnych przez file://, a treść jest widoczna w odpowiedzi HTTP dla klientów.
- CVE-2026-81816Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje wstrzyknięcie XML External Entity (XXE) w ContentWorker. Uwierzytelniony atakujący z uprawnieniami autora treści może odczytać dowolne pliki serwera i wywołać SSRF, przechowując spreparowany zasób DataResource text/xml z deklaracją encji zewnętrznej, która jest przetwarzana przez domyślny parser FreeMarker bez ograniczeń DTD i encji zewnętrznych.
- CVE-2026-81815Nieznane
W Apache OFBiz 24.09 przed 24.09.08 na wdrożeniach z MySQL/MariaDB występuje wstrzyknięcie SQL w usłudze performFind silnika encji. Zdalny nieuwierzytelniony atakujący może ujawnić dowolne wiersze encji, wysyłając żądanie find z ignorowaniem wielkości liter (_ic=Y) ze spreparowaną wartością, ponieważ SqlJdbcUtil.addValueSingle wstawia wartość bezpośrednio do SQL, a podwajanie apostrofów jest niewystarczające przy interpretacji backslashy w MySQL/MariaDB.
- CVE-2026-81808Nieznane
Brak autoryzacji w ProductSearchEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na masową modyfikację powiązań kategorii i cech produktów poprzez zdarzenia mutacji wyników wyszukiwania. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują operacje zapisu bez sprawdzania uprawnień DELETE/CREATE.
- CVE-2026-81744Nieznane
Nieprawidłowa autoryzacja w ContentPermissionServices w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z ograniczonym uprawnieniem do tworzenia treści na samodzielne nadanie roli OWNER na dowolnej treści poprzez wywołanie usługi createContentRole. Kontrola uprawnień przechodzi do domyślnej gałęzi zezwalającej, gdy żaden wpis ContentPurposeOperation nie pasuje do żądanej operacji.
- CVE-2026-81734Nieznane
Brak autoryzacji w ProductEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na tworzenie, modyfikację lub usuwanie danych produktów, powiązań cech i kategorii poprzez bezpośrednie wywołanie zdarzeń szybkiej administracji katalogiem. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują zapisy bez sprawdzania uprawnień aktualizacji/tworzenia.
- CVE-2026-76152Nieznane
Podatność path traversal i brak kontroli autoryzacji w usługach imageCrop i imageRotate w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na odczyt dowolnych plików możliwych do przetworzenia jako obrazy oraz zapis przetworzonego obrazu do dowolnego katalogu z prawem zapisu procesu OFBiz. Wykorzystuje spreparowane parametry productId i imageName.
- CVE-2026-76150Nieznane
Podatność path traversal i brak kontroli autoryzacji w usłudze replaceImageToExistImage w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na nadpisanie dowolnych plików z prawem zapisu procesu OFBiz zawartością zakodowaną w JPEG. Wykorzystuje spreparowane parametry productId, dataResourceNameExist i dataResourceNameReplace.
- CVE-2026-74841Nieznane
W wdrożeniach multitenant ContextFilter i LoginWorker budowały nazwę delegatora dla dzierżawcy na podstawie parametru userTenantId dostarczonego w żądaniu i żądały delegatora przed potwierdzeniem istnienia dzierżawcy. Wewnętrzny cache DelegatorFactory przechowuje każdą nazwę delegatora, w tym te, które nie zostały rozwiązane, więc nieuwierzytelniony atakujący może wysyłać strumień dowolnych identyfikatorów dzierżawców, aby nieograniczenie powiększać ten cache.
Oryginalny opis (angielski, źródło NVD)
Improper Control of Generation of Code ('Code Injection') in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to execute arbitrary code on the server by staging crafted widget XML in a multipart upload and overriding the mainDecoratorLocation used by a manager login route through an anonymous JSON request, causing OFBiz to load the staged XML through its live screen descriptor mechanism and evaluate an unsandboxed Groovy expression while rendering the authentication-failure page. Further validation established the following: -- The exploit does not require a malformed or incomplete multipart body: a well-formed multipart request that is kept in flight and then allowed to complete normally is sufficient. -- The screen loader reads the widget XML from a live process file descriptor while the upload is streaming, rather than from any file the attacker persists to disk. -- The same underlying issue is also reachable through the public, explicitly unauthenticated /sfa/control/editPortalPageColumnWidth route, returning command output directly in an HTTP 200 response — it is not limited to the login-failure rendering path used in the original report. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS