CVE-2026-82894
Açıklama
Apache OFBiz 24.09 sürümünün 24.09.08 öncesi tüm platformlardaki ContentWorker bileşenindeki hatalı yetkilendirme, kimliği doğrulanmamış uzaktan bir saldırganın saldırgan tarafından kontrol edilen parametrelerle rastgele OFBiz hizmet çağrısı tetiklemesine olanak tanır; bu da rastgele dosya yazma, rastgele dosya silme ve sunucu tarafı istek sahteciliği ile sonuçlanır. Saldırgan, yalnızca CONTENTMGR_CREATE veya CONTENTMGR_UPDATE yetkisine sahip bir hesabın serviceName alanını saldırgan tarafından seçilen bir hizmete ayarladığı bir Content satırına karşı genel showHelpPublic görünümünü isteyerek bunu gerçekleştirir; bu da ContentWorker.renderContentAsText'in çağrılacak hizmeti bu kalıcı, istemci tarafından yazılabilir alandan çözümlemesine ve parametrelerini doğrudan canlı HTTP istek eşlemesinden izin listesi, sahiplik denetimi ve çağıranın kimliğinin doğrulanmış olması şartı olmaksızın oluşturmasına neden olur. Kullanıcıların bu sorunu düzelten 24.09.08 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- Apache Software Foundation Apache OFBiz24.09.08 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.