CVE-2026-84183

Apache OFBiz 24.09 sürümünün 24.09.08 öncesindeki tüm platformlarda, applications/content/minilang/layout/LayoutEvents.xml dosyasındaki updateLayout simple-method bileşeninde hatalı yetkilendirme bulunmaktadır. Sadece OFBTOOLS_VIEW ve CONTENTMGR_VIEW yetkilerine sahip uzaktan kimliği doğrulanmış bir saldırgan; gerçek Content kaydı üzerindeki güncelleme izni veya bağımsız olarak seçilen bir DataResource yerine yalnızca sabit CONTENT_CREATE işlemini doğrulayan updateLayout yetkilendirme kontrolünü kullanarak, mevcut bir RESPONSE amaçlı Content kaydını yeniden bağlayabilir ve rastgele seçilmiş bir DataResource'u, özel hazırlanmış bir User-Agent başlığı aracılığıyla zehirlenen ve normal kimliği doğrulanmış showContent rotası üzerinden değerlendirilen OFBiz erişim günlüğüne yönlendirilmiş bir OFBIZ_FILE/FTL kaynağına dönüştürebilir. Bu durum, saldırganın OFBiz işlem kullanıcısı olarak keyfi komutlar çalıştırmasına olanak tanır. Kullanıcıların bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.