CVE-2026-100168
NieznaneStreszczenie
Bezpośrednie żądanie (wymuszone przeglądanie) w komponencie Content Manager w Apache OFBiz 24.09.07 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami tylko do przeglądania treści (OFBTOOLS_VIEW i CONTENTMGR_VIEW) na zmianę nadrzędnego powiązania treści, których nie jest właścicielem, poprzez bezpośrednie żądanie POST do punktu końcowego moveContentJson, który nie sprawdza uprawnień.
Ocena ryzyka
Użytkownik z ograniczonymi uprawnieniami może modyfikować strukturę powiązań treści, co może prowadzić do nieautoryzowanych zmian w organizacji treści i potencjalnych nadużyć.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.08, która naprawia tę lukę.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-97356Nieznane
W komponencie ViewFile w Label Manager w Apache OFBiz 24.09.07 wykryto podatność External Control of File Name or Path. Uwierzytelniony użytkownik z uprawnieniem LABEL_MANAGER_VIEW może odczytać dowolne pliki properties i XML na serwerze, w tym klucz podpisywania JWT, co umożliwia sfałszowanie sesji administratora.
- CVE-2026-97355Nieznane
W komponencie AdminServer w Apache OFBiz 24.09.07 wykryto podatność Use of Hard-coded Password. Atakujący mogący dotrzeć do portu kontrolnego AdminServer może odpytać o stan serwera i wywołać nieuwierzytelnione zatrzymanie instancji przy użyciu stałego domyślnego klucza kontrolnego z start.properties.
- CVE-2026-92887Nieznane
W parserze definicji .rest.xml (ModelApiReader) frameworka REST API w Apache OFBiz do 24.09.07 wykryto nieprawidłową wartość domyślną. Zdalny, nieuwierzytelniony atakujący może wywołać operację REST API bez ważnych poświadczeń, gdy definicja pomija atrybut auth, który jest błędnie interpretowany jako false zamiast true.
- CVE-2026-83538Nieznane
Brak autoryzacji w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu zdalnemu atakującemu ujawnić wewnętrzne rekordy biznesowe (dane organizacji, pracowników, katalogu produktów i sklepów) poprzez odwołanie się do kilku endpointów pomocniczych w aplikacjach Human Resources, Catalog i Order Manager, które pomijają uwierzytelnianie i nie sprawdzają uprawnień.
- CVE-2026-114277Nieznane
Obejście uwierzytelniania przez dane uznane za niezmienne w opcjonalnej integracji Janrain Engage Social Login w komponencie ecommerce Apache OFBiz przed 24.09.08 pozwala na nieprawidłowe powiązanie uwierzytelnionych tożsamości zewnętrznych z lokalnymi kontami użytkowników.
- CVE-2026-114272Nieznane
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w komponencie przeglądania treści w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania treści w zakresie roli na odczyt danych treści, do których nie ma uprawnień, poprzez żądanie ViewSimpleContent łączące contentId, do którego ma dostęp, z dataResourceId innej treści.
- CVE-2026-114271Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w usługach list zakupowych. Uwierzytelniony użytkownik o niskich uprawnieniach, np. samodzielnie zarejestrowany klient e-commerce, może zmodyfikować lub przejąć listę zakupową innej osoby i odczytać jej zawartość, podając identyfikator cudzej listy w żądaniu do endpointu aktualizacji.
- CVE-2026-114235Nieznane
W komponencie Order w Apache OFBiz 24.09 przed 24.09.08 występuje bezpośrednie żądanie (forced browsing). Uwierzytelniony użytkownik mający jedynie uprawnienia do przeglądania Order Managera może zmienić numer śledzenia przesyłki dowolnego zamówienia poprzez bezpośrednie żądanie do endpointu updateTrackingNumber.
- CVE-2026-114233Nieznane
W Order Manager w Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowe przypisanie uprawnień. Uwierzytelniony użytkownik posiadający jedynie uprawnienie ORDERMGR_VIEW, bez ORDERMGR_UPDATE i bez roli w zamówieniu, może modyfikować zatwierdzone zamówienia — zmieniać adres dostawy i metodę wysyłki grupy wysyłkowej lub dodawać pozycje z nadpisaną ceną — poprzez usługi updateShipGroupShipInfo i appendOrderItem.
- CVE-2026-114229Nieznane
W przeglądarce obrazów katalogu w Apache OFBiz 24.09 przed 24.09.08 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron (cross-site scripting). Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w sesji przeglądarki zalogowanego użytkownika back-office poprzez spreparowany adres URL viewImage, który użytkownik otworzy w aplikacji.
Oryginalny opis (angielski, źródło NVD)
Direct Request ('Forced Browsing') in the Content Manager component in Apache OFBiz 24.09.07 on all platforms allows an authenticated user holding only view-only content permissions (OFBTOOLS_VIEW and CONTENTMGR_VIEW) to re-parent content associations they do not own or manage via a direct POST request to the moveContentJson endpoint, which performs no permission check, unlike the equivalent updateContent/createContentAssoc/removeContentAssoc services that require genericContentPermission UPDATE. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS