Podatności Apache OFBiz

27 znanych podatności CVE w Apache OFBiz, przetłumaczonych i ocenionych.

CVE-2016-4462Wysokie
Podatność CVE-2016-4462 pozwala na manipulację parametrem URL externalLoginKey przez złośliwego, zalogowanego użytkownika, co może prowadzić do wykonania złośliwego kodu zdalnego poprzez odpowiednio skonstruowany szablon Freemarker.
CVE-2026-45434Krytyczne
W podatności CVE-2026-45434 w Apache OFBiz występuje błąd w logice zmiany hasła, który może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.06.
CVE-2026-41919Krytyczne
W podatności CVE-2026-41919 występuje niewłaściwa neutralizacja specjalnych elementów używanych w zapytaniach LDAP, co prowadzi do podatności na ataki typu LDAP Injection w Apache OFBiz.
CVE-2026-31986Krytyczne
Podatność związana z użyciem zakodowanego klucza kryptograficznego w Apache OFBiz. Problem dotyczy wersji przed 24.09.06.
CVE-2024-45195WysokieAktywnie exploitowane
Podatność typu Direct Request (Forced Browsing) w Apache OFBiz w wersjach przed 18.12.16. Atakujący może uzyskać dostęp do zasobów, do których nie powinien mieć dostępu.
CVE-2024-38856KrytyczneAktywnie exploitowane
Podatność nieprawidłowej autoryzacji w Apache OFBiz. Problem dotyczy Apache OFBiz do wersji 18.12.14. Nieuwierzytelnione punkty końcowe mogą pozwolić na wykonanie kodu renderującego ekrany, jeśli spełnione są pewne warunki wstępne (np. gdy definicje ekranów nie sprawdzają jawnie uprawnień użytkownika, polegając na konfiguracji punktów końcowych).
CVE-2024-32113KrytyczneAktywnie exploitowane
W Apache OFBiz przed wersją 18.12.13 występuje podatność polegająca na nieprawidłowym ograniczeniu ścieżki do katalogu (Path Traversal). Umożliwia ona atakującemu dostęp do plików poza dozwolonym katalogiem.
CVE-2012-1622Krytyczne
Apache OFBiz w wersji 10.04.x przed 10.04.02 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.
CVE-2016-2170Krytyczne
Apache OFBiz w wersjach 12.04.x przed 12.04.06 oraz 13.07.x przed 13.07.03 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z biblioteką Apache Commons Collections.
CVE-2026-50223Wysokie
Podatność na wstrzykiwanie kodu w Apache OFBiz umożliwia niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi z uprawnieniami edycji treści/zasobów danych przeprowadzenie ataku przez wstrzyknięcie szablonu, co może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.07.
CVE-2026-47342Wysokie
Apache OFBiz przed wersją 24.09.07 zawiera podatność na eskalację uprawnień, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na uzyskanie wyższych uprawnień.
CVE-2026-46586Wysokie
W Apache OFBiz występuje podatność związana z niewłaściwą kontrolą generacji kodu oraz niewłaściwą neutralizacją dyrektyw w dynamicznie ocenianym kodzie. Problem ten dotyczy wersji przed 24.09.06.
CVE-2026-45187Średnie
Apache OFBiz Webtools przed wersją 24.09.06 zawiera podatność typu Improper Authorization (niewłaściwa autoryzacja).
CVE-2026-35086Średnie
Apache OFBiz przed wersją 24.09.06 zawiera podatność typu Code Injection (wstrzyknięcie kodu) w usługach poczty e-mail.
CVE-2026-31910Wysokie
W podatności Server-Side Request Forgery (SSRF) w Apache OFBiz przed wersją 24.09.06, atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych lub zewnętrznych zasobów.
CVE-2026-31909Wysokie
W podatności CVE-2026-31909 w Apache OFBiz występuje ujawnienie wrażliwych informacji osobom nieuprawnionym. Problem dotyczy wersji przed 24.09.06.
CVE-2026-31906Średnie
Podatność Cross-site Scripting (XSS) w Apache OFBiz wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji przed 24.09.06.
CVE-2026-31388Średnie
W Apache OFBiz w środowiskach wielodostępnych (multi-tenant) występuje luka niewłaściwej kontroli dostępu. Problem dotyczy wersji przed 24.09.06.
CVE-2026-31387Średnie
Podatność nieprawidłowego uwierzytelniania w Apache OFBiz pozwala na obejście mechanizmów autoryzacji. Problem dotyczy wersji przed 24.09.06.
CVE-2026-31380Średnie
Apache OFBiz przed wersją 24.09.06 zawiera podatność typu Expression Language Injection (wstrzyknięcie wyrażeń EL) wynikającą z niewłaściwej neutralizacji specjalnych elementów.
CVE-2026-31379Średnie
Apache OFBiz przed wersją 24.09.06 zawiera podatności typu Cross-site Scripting (XSS), Path Traversal oraz Code Injection wynikające z niewłaściwej neutralizacji danych wejściowych i ograniczeń ścieżek.
CVE-2026-31378Średnie
Apache OFBiz przed wersją 24.09.06 zawiera podatność typu Improper Input Validation (niewłaściwa walidacja danych wejściowych).
CVE-2026-29226Wysokie
W podatności SSRF w Apache OFBiz, występującej w operacjach komponentu Content, atakujący może wysyłać złośliwe żądania do serwera. Problem dotyczy wersji Apache OFBiz przed 24.09.06.
CVE-2026-29220Średnie
W Apache OFBiz występuje podatność typu path traversal (niewłaściwe ograniczenie ścieżki do katalogu). Problem dotyczy wersji przed 24.09.06 i może pozwolić na dostęp do plików spoza dozwolonego katalogu.
CVE-2026-29207Średnie
Apache OFBiz przed wersją 24.09.06 zawiera podatność typu Template Engine Injection (wstrzyknięcie do silnika szablonów) wynikającą z niewłaściwej neutralizacji specjalnych elementów. W wersji 24.09.06 rekordy "Data Resource" z dataTemplateTypeId = "FTL" nie są już obsługiwane, a grupa zabezpieczeń "Ecommerce Customer" nie zawiera już uprawnień do zarządzania treścią.
CVE-2025-61623Średnie
W Apache OFBiz występuje podatność typu reflected cross-site scripting (XSS). Problem dotyczy wersji przed 24.09.03.
CVE-2025-59118Wysokie
W Apache OFBiz występuje luka nieograniczonego przesyłania plików niebezpiecznego typu. Problem dotyczy wersji przed 24.09.03 i może prowadzić do przesłania złośliwego pliku.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS