CVE-2026-82894
Təsvir
Apache OFBiz 24.09 versiyasının 24.09.08-dən əvvəlki bütün platformalarda olan ContentWorker komponentindəki yanlış avtorizasiya, uzaqdakı autentifikasiya olunmamış hücumçunun idarə etdiyi parametrlərlə ixtiyari OFBiz xidmətinin çağırılmasını tətikləməsinə şərait yaradır. Bu, yalnız CONTENTMGR_CREATE və ya CONTENTMGR_UPDATE imtiyazlarına malik hesab tərəfindən serviceName sahəsi hücumçunun seçdiyi xidmətə təyin edilmiş Content sətri üçün ictimai showHelpPublic görünüşü sorğu edilərək, ixtiyari faylın yazılmasına, ixtiyari faylın silinməsinə və server tərəfli sorğu saxtakarlığına (SSRF) səbəb olur. Beləliklə, ContentWorker.renderContentAsText funksiyası çağırılacaq xidməti həmin saxlanılan və müştəri tərəfindən yazıla bilən sahədən müəyyən edir və onun parametrlərini heç bir icazəli siyahı (allow-list), mülkiyyət yoxlaması və ya çağıran şəxsin autentifikasiyası tələbi olmadan birbaşa canlı HTTP sorğu xəritəsindən qurur. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yeniləməklə tövsiyə edilir.
Necə düzəltmək olar
- Apache Software Foundation Apache OFBiz24.09.08 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.