CVE-2026-82902

Apache OFBiz 24.09 sürümünün 24.09.08 öncesindeki versiyonlarında tüm platformlarda bulunan ViewDataFile bileşenindeki Server-Side Request Forgery zafiyeti, yalnızca temel webtools izinlerine (OFBTOOLS_VIEW, WEBTOOLS_VIEW) sahip uzaktan kimliği doğrulanmış bir saldırganın sunucunun rastgele giden HTTP istekleri göndermesine neden olmasına; ayrıca ENTITY_MAINT ve DATAFILE_MAINT izinlerine sahip bir saldırganın ise viewdatafile ekranına DEFINITION_LOCATION veya DATAFILE_LOCATION istek parametrelerini ileterek file: URL üzerinden rastgele yerel dosyaları okumasına olanak tanır. Bu durum, ViewDataFile.groovy dosyasının her iki parametreyi de herhangi bir şema izin listesi, ana bilgisayar filtresi veya çıkış kontrolü olmaksızın java.net.URL nesneleri olarak çözümlemesinden kaynaklanmaktadır; bu işlem ekranın ve şablonun izin kontrolleri değerlendirilmeden önce çalışan bir ekran eylemi içinde gerçekleştiği için, isteyen hesabın sonucu görüntüleme yetkisi olup olmadığına bakılmaksızın getirme işlemi yürütülür. Kullanıcıların bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.