CVE-2026-81744
Təsvir
Bütün platformalarda Apache OFBiz 24.09 versiyasının 24.09.08 versiyasından əvvəlki sürümlərində ContentPermissionServices komponentində yanlış avtorizasiya mövcuddur. Bu, yalnız məhdud content-create icazəsinə malik olan uzaqdan autentifikasiya olunmuş hücumçunun createContentRole xidmətini çağırmaqla (məsələn, createForumGroupRole sorğusu vasitəsilə) istənilən kontent üzərində özünə OWNER rolunu verməsinə şərait yaradır. Heç bir ContentPurposeOperation yazısı sorğu edilən əməliyyat və kontent məqsədi ilə uyğun gəlmədikdə, icazə yoxlaması sorğunu rədd etmək əvəzinə, "fail-open" standart-icazə budağına keçir. Özünə verilmiş OWNER rolu daha sonra həmin kontentin yenilənməsi, silinməsi və status dəyişikliklərinin avtorizasiyası üçün istifadə olunan mülkiyyət yoxlamasını təmin edir və bu da hücumçuya giriş icazəsi olmamalı olduğu kontent üzərində tam oxuma/yazma/silmə nəzarəti verir. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yüksəltmə etmək tövsiyə olunur.
Necə düzəltmək olar
- Apache Software Foundation Apache OFBiz24.09.08 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.