CVE-2026-81734

Tüm platformlarda Apache OFBiz 24.09'un 24.09.08 öncesindeki sürümlerinde bulunan ProductEvents bileşenindeki yetkilendirme eksikliği, yalnızca katalog görüntüleme iznine sahip uzaktan kimliği doğrulanmış bir saldırganın, updateProductQuickAdminShipping gibi katalog hızlı-yönetici olaylarını doğrudan çağırarak rastgele ürün, ürün özellik ilişkilendirmesi ve ürün kategori ilişkilendirmesi verilerini oluşturmasına, değiştirmesine veya silmesine olanak tanır; bu durum, ilgili olay yöntemleri aynı sınıftaki eşdeğer kardeş olay yöntemleri tarafından uygulanan katalog güncelleme/oluşturma iznini kontrol etmeden entity-engine yazma işlemlerini gerçekleştirirken, servlet'in isteği request-map üzerinde beyan edilen temel görünüm düzeyi izne göre yetkilendirmesine neden olur. Kullanıcıların, bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.