CVE-2026-105330

Bütün platformalarda Apache OFBiz 24.09.06 və 24.09.07 versiyalarında JWT token autentifikasiyasında sabit kodlaşdırılmış kriptoqrafik açardan istifadə, autentifikasiya olunmamış, şəbəkə vasitəsilə əlçatan olan hücumçuya saxtalaşdırılmış JWT vasitəsilə tam inzibati giriş əldə etməyə imkan verir. Bu, CVE-2026-31986 tərəfindən yeni yaradılan konfiqurasiyalardan çıxarılan zavod default security.token.key dəyəri ilə imzalanmış JWT vasitəsilə baş verir və həmin düzəlişdən əvvəlki versiyadan yenilənmiş, mövcud security.properties faylını saxlayan və security.internal.sso.enabled parametri true olaraq təyin edilmiş tətbiqlərdə mümkündür. İstifadəçilərə 24.09.08 versiyasına yeniləmək tövsiyə olunur. Yalnız yeniləmə prosesi artıq konfiqurasiya edilmiş açarı dəyişmir: framework/security/config/security.properties faylını CVE-2026-31986 düzəlişindən əvvəlki versiyadan köçürmüş tətbiqlər yeniləmədən sonra həmçinin './gradlew rotateSecretKeys' əmrini icra etməlidirlər, çünki mövcud generateSecretKeys tapşırığı artıq təyin edilmiş dəyərə toxunmur.