CVE-2026-105330

Tüm platformlarda Apache OFBiz 24.09.06 ve 24.09.07 sürümlerindeki JWT belirteç kimlik doğrulamasında sabit kodlanmış kriptografik anahtar kullanımı; CVE-2026-31986 ile yeni oluşturulan yapılandırmalardan kaldırılan fabrika varsayılan security.token.key değeriyle imzalanmış sahte bir JWT aracılığıyla, kimliği doğrulanmamış ve ağ üzerinden erişebilen bir saldırganın tam yönetici erişimi elde etmesine olanak tanır. Bu durum, söz konusu düzeltmeden önceki bir sürümden yükseltme yapmış, mevcut security.properties dosyasını korumuş ve security.internal.sso.enabled değerini true olarak ayarlamış dağıtımlarda geçerlidir. Kullanıcıların 24.09.08 sürümüne yükseltme yapmaları önerilir. Yalnızca yükseltme işlemi halihazırda yapılandırılmış bir anahtarı değiştirmez: framework/security/config/security.properties dosyasını CVE-2026-31986 düzeltmesinden önceki bir sürümden taşıyan dağıtımlar, mevcut generateSecretKeys görevi önceden ayarlanmış bir değere dokunmadığı için yükseltme işleminden sonra ayrıca './gradlew rotateSecretKeys' komutunu çalıştırmalıdır.