CVE-2026-81734
Təsvir
Bütün platformalarda Apache OFBiz 24.09 versiyasının 24.09.08 versiyasından əvvəlki nəhqlərində ProductEvents komponentində avtorizasiyanın olmaması, yalnız kataloq baxış icazəsinə malik uzaqdan autentifikasiya olunmuş hücumçunun updateProductQuickAdminShipping kimi kataloq quick-admin hadisələrini birbaşa çağırmaqla istənilən məhsul, məhsul xüsusiyyətləri assosiasiyası və məhsul kateqoriyası assosiasiyası məlumatlarını yaratmasına, dəyişdirməsinə və ya silməsinə şərait yaradır. Bu zaman servlet sorğunu request-map-də təyin edilmiş baza baxış səviyyəli icazəyə görə avtorizasiya edir, lakin altda yatan hadisə metodları eyni sinifdəki ekvivalent qardaş hadisə metodları tərəfindən tətbiq edilən kataloq yeniləmə/yaratma icazəsini yoxlamadan entity-engine yazmalarını yerinə yetirir. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yüksəltmə etmək tövsiyə olunur.
Necə düzəltmək olar
- Apache Software Foundation Apache OFBiz24.09.08 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.