CVE-2026-81816
Açıklama
Apache OFBiz 24.09 sürümünün 24.09.08 öncesindeki tüm platformlarda bulunan ContentWorker bileşenindeki XML External Entity (XXE) Enjeksiyonu, content-author yetkisine sahip uzaktan kimliği doğrulanmış bir saldırganın, harici bir varlık bildirimi içeren özel olarak hazırlanmış bir text/xml DataResource kaydederek rastgele sunucu dosyalarını okumasına ve sunucu taraflı istek sahteciliği (SSRF) tetiklemesine olanak tanır; bu durum, ContentWorker'ın söz konusu içeriği —renderContentAsText ve ilgili CMS/help render yolları aracılığıyla— işlerken, kayıtlı XML'i FEATURE_SECURE_PROCESSING veya harici varlık/DTD kısıtlamalarının etkinleştirilmediği FreeMarker'ın varsayılan NodeModel.parse DocumentBuilderFactory'sini kullanarak ayrıştırmasına, böylece harici varlığın çözümlenmesine ve içeriğinin oluşturulan yanıtta döndürülmesine neden olur. Kullanıcıların bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- Apache Software Foundation Apache OFBiz24.09.08 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.