CVE-2026-81744

Apache OFBiz'in tüm platformlardaki 24.09.08 öncesi 24.09 sürümlerinde, ContentPermissionServices bileşenindeki hatalı yetkilendirme; yalnızca sınırlı bir içerik oluşturma iznine sahip olan uzaktan kimliği doğrulanmış bir saldırganın, createContentRole servisini çağırarak (örneğin createForumGroupRole isteği aracılığıyla) rastgele içerikler üzerinde kendisine OWNER rolü tanımlamasına izin verir. Bu durum, talep edilen işlem ve içerik amacı ile eşleşen herhangi bir ContentPurposeOperation girişi bulunmadığında, izin kontrolünün isteği reddetmek yerine varsayılan olarak erişim veren (fail-open) bir dala düşmesine neden olur. Kendi kendine tanımlanan OWNER rolü, söz konusu içerik üzerindeki güncelleme, kaldırma ve durum değişikliklerini yetkilendirmek için kullanılan sahiplik kontrolünü karşılayarak, saldırgana erişmemesi gereken içerikler üzerinde tam okuma/yazma/silme kontrolü sağlar. Kullanıcıların bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.