CVE-2026-100168
Açıklama
Tüm platformlarda Apache OFBiz 24.09.07 sürümündeki Content Manager bileşeninde bulunan Doğrudan İstek ('Zorlanmış Gezinme'), yalnızca görüntüleme içerik izinlerine (OFBTOOLS_VIEW ve CONTENTMGR_VIEW) sahip kimliği doğrulanmış bir kullanıcının, genelContentPermission UPDATE gerektiren eşdeğer updateContent/createContentAssoc/removeContentAssoc servislerinin aksine herhangi bir izin kontrolü yapmayan moveContentJson uç noktasına doğrudan bir POST isteği göndererek sahibi olmadığı veya yönetmediği içerik ilişkilendirmelerini yeniden üst klasöre taşımasına olanak tanır. Kullanıcıların bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- Apache Software Foundation Apache OFBiz24.09.08 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.