CVE-2026-81815

Apache OFBiz 24.09 versiyasının 24.09.08-dən əvvəlki versiyalarında, MySQL/MariaDB bazalı tətbiqlərdə entity engine-in generic performFind xidmətində SQL inyeksiyası mövcuddur. Bu, autentifikasiya olunmamış uzaq hücumçuya xüsusi hazırlanmış dəyər ilə "ignore-case" axtarış sorğusu (məsələn, _ic=Y) göndərməklə sorğu edilən entity-dən istənilən sətirləri əldə etməyə imkan verir. Bu problem SqlJdbcUtil.addValueSingle funksiyasının EntityFunction ilə sarılmış dəyəri parametr kimi bağlamaq əvəzinə, yalnız ANSI standartına uyğun tək dırnağı ikiqatlaşdıraraq birbaşa SQL mətninə yerləşdirməsindən qaynaqlanır. MySQL/MariaDB dialektləri həmçinin ters slash (\) escape simvolunu tanıdığı üçün bu metod kifayət etmir və tərs slash ilə bitən faydalı yükün (payload) sətir literalından çıxaraq WHERE bəndini tautologiyaya çevirməsinə şərait yaradır. Standart Derbydatasource və PostgreSQL bu kontekstdə tərs slash-i escape simvolu kimi şərh etmədikləri üçün təsirlənmir. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yeniləmək tövsiyə olunur.