CVE-2026-82902

Apache OFBiz 24.09 versiyasının 24.09.08-dən əvvəlki bütün platformalarda olan ViewDataFile komponentində Server-Side Request Forgery zəifliyi aşkar edilmişdir. Bu zəiflik yalnız baza webtools icazələrinə (OFBTOOLS_VIEW, WEBTOOLS_VIEW) malik olan uzaqdakı autentifikasiya olunmuş hücumçunun serverin ixtiyari çıxan HTTP sorğuları göndərməsinə səbəb olmasına imkan verir. Əlavə olaraq ENTITY_MAINT və DATAFILE_MAINT icazələrinə malik olan hücumçu, viewdatafile ekranına DEFINITION_LOCATION və ya DATAFILE_LOCATION sorğu parametrini təqdim etməklə file: URL vasitəsilə ixtiyari lokal faylları oxuya bilər. Bunun səbəbi odur ki, ViewDataFile.groovy hər iki parametri heç bir sxem icazə siyahısı, host filtri və ya çıxış nəzarəti olmadan java.net.URL obyektləri kimi istifadə edir və bu proses ekranın və şablonun icazə yoxlamaları qiymətləndirilmədən əvvəl işləyən ekran hərəkəti daxilində baş verir, buna görə də sorğunu göndərən hesabın nəticəni görməyə səlahiyyəti olub-olmamasından asılı olmayaraq məlumatların gətirilməsi icra edilir. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yeniləməkləri tövsiyə olunur.