CVE-2026-81808
Açıklama
Apache OFBiz'in tüm platformlardaki 24.09.08 öncesindeki 24.09 sürümlerinde bulunan ProductSearchEvents bileşenindeki yetkilendirme eksikliği, yalnızca katalog görüntüleme iznine sahip uzaktan kimliği doğrulanmış bir saldırganın; geniş kapsamlı bir ürün araması başlatıp ardından searchRemoveFromCategory, searchExpireFromCategory, searchAddToCategory, searchAddFeature ve searchRemoveFeature gibi arama sonucu mutasyon olaylarını çağırarak rastgele arama sonuçları genelinde ürün kategorisi ve özellik ilişkilendirmelerini toplu olarak değiştirmesine olanak tanır. Bu durum, servlet'in isteği yalnızca request-map üzerinde tanımlanan temel görüntüleme düzeyi iznine göre yetkilendirmesinden kaynaklanırken, alttaki olay yöntemleri eşdeğer servis katmanı işlemleri (örneğin removeProductFromCategory) tarafından uygulanan DELETE/CREATE izinlerini kontrol etmeden toplu entity-engine silme/ekleme işlemleri gerçekleştirir. Kullanıcıların bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- Apache Software Foundation Apache OFBiz24.09.08 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.