Aktywnie wykorzystywana w atakach
Apache OFBiz Forced Browsing Vulnerability
Apache - OFBiz · Figuruje w katalogu CISA KEV od 2025-02-04. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2024-45195
WysokieCVSS 7.5KEVStreszczenie
Podatność typu Direct Request (Forced Browsing) w Apache OFBiz w wersjach przed 18.12.16. Atakujący może uzyskać dostęp do zasobów, do których nie powinien mieć dostępu.
Ocena ryzyka
Może prowadzić do nieautoryzowanego dostępu do funkcji lub danych aplikacji, co w kontekście OFBiz (ERP) może oznaczać wyciek lub modyfikację danych biznesowych.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 18.12.16, która naprawia tę podatność.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-46586Wysokie
W Apache OFBiz występuje podatność związana z niewłaściwą kontrolą generacji kodu oraz niewłaściwą neutralizacją dyrektyw w dynamicznie ocenianym kodzie. Problem ten dotyczy wersji przed 24.09.06.
- CVE-2026-31910Wysokie
W podatności Server-Side Request Forgery (SSRF) w Apache OFBiz przed wersją 24.09.06, atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych lub zewnętrznych zasobów.
- CVE-2026-31909Wysokie
W podatności CVE-2026-31909 w Apache OFBiz występuje ujawnienie wrażliwych informacji osobom nieuprawnionym. Problem dotyczy wersji przed 24.09.06.
- CVE-2026-29226Wysokie
W podatności SSRF w Apache OFBiz, występującej w operacjach komponentu Content, atakujący może wysyłać złośliwe żądania do serwera. Problem dotyczy wersji Apache OFBiz przed 24.09.06.
- CVE-2016-4462Wysokie
Podatność CVE-2016-4462 pozwala na manipulację parametrem URL externalLoginKey przez złośliwego, zalogowanego użytkownika, co może prowadzić do wykonania złośliwego kodu zdalnego poprzez odpowiednio skonstruowany szablon Freemarker.
- CVE-2026-45434Krytyczne
W podatności CVE-2026-45434 w Apache OFBiz występuje błąd w logice zmiany hasła, który może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.06.
- CVE-2026-41919Krytyczne
W podatności CVE-2026-41919 występuje niewłaściwa neutralizacja specjalnych elementów używanych w zapytaniach LDAP, co prowadzi do podatności na ataki typu LDAP Injection w Apache OFBiz.
- CVE-2026-31986Krytyczne
Podatność związana z użyciem zakodowanego klucza kryptograficznego w Apache OFBiz. Problem dotyczy wersji przed 24.09.06.
- CVE-2024-38856KrytyczneAktywnie exploitowane
Podatność nieprawidłowej autoryzacji w Apache OFBiz. Problem dotyczy Apache OFBiz do wersji 18.12.14. Nieuwierzytelnione punkty końcowe mogą pozwolić na wykonanie kodu renderującego ekrany, jeśli spełnione są pewne warunki wstępne (np. gdy definicje ekranów nie sprawdzają jawnie uprawnień użytkownika, polegając na konfiguracji punktów końcowych).
- CVE-2024-32113KrytyczneAktywnie exploitowane
W Apache OFBiz przed wersją 18.12.13 występuje podatność polegająca na nieprawidłowym ograniczeniu ścieżki do katalogu (Path Traversal). Umożliwia ona atakującemu dostęp do plików poza dozwolonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
Direct Request ('Forced Browsing') vulnerability in Apache OFBiz. This issue affects Apache OFBiz: before 18.12.16. Users are recommended to upgrade to version 18.12.16, which fixes the issue.