CVE-2026-84183
Təsvir
Apache OFBiz 24.09 versiyasının 24.09.08-dək olan bütün platformalarda applications/content/minilang/layout/LayoutEvents.xml faylındakı updateLayout simple-metodunda yanlış avtorizasiya mövcuddur. Yalnız OFBTOOLS_VIEW və CONTENTMGR_VIEW hüquqlarına malik uzaqdan autentifikasiya olunmuş hücumçu, updateLayout metodunun avtorizasiya yoxlamasından istifadə edərək (hansı ki, faktiki Content yazısı üzərində yeniləmə icazəsini və müstəqil seçilmiş DataResource-u yoxlamaq əvəzinə yalnız sabit CONTENT_CREATE əməliyyatını təsdiqləyir), mövcud RESPONSE məqsədli Content yazısını yenidən bağlaya və müstəqil seçilmiş hər hansı bir DataResource-u OFBiz giriş loquna yönəlmiş OFBIZ_FILE/FTL resursuna çevirə bilər. Bu loq xüsusi hazırlanmış User-Agent başlığı vasitəsilə zəhərlənir və standart autentifikasiya olunmuş showContent marşrutu vasitəsilə icra edilir. Nəticədə hücumçu OFBiz proses istifadəçisi kimi ixtiyari əmrləri icra edə bilir. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yüksəltmə etmək tövsiyə olunur.
Necə düzəltmək olar
- Apache Software Foundation Apache OFBiz24.09.08 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.