CVE-2026-109928
NieznaneStreszczenie
W walidacji JWT przy resetowaniu hasła i logowaniu w Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowa implementacja algorytmu uwierzytelniania. Atakujący, który uzyskał token resetowania hasła użytkownika (np. przez przechwycenie e-maila, ujawnienie logów lub atak man-in-the-middle na transport poczty), może uwierzytelnić się jako ten użytkownik i uzyskać pełną, nieograniczoną sesję, w tym dostęp administracyjny, jeśli konto docelowe jest kontem administratora, poprzez przesłanie tokenu bezpośrednio do endpointu logowania zamiast zamierzonego procesu zmiany hasła.
Ocena ryzyka
Możliwość pełnego przejęcia konta, w tym konta administratora, przez atakującego posiadającego token resetowania hasła, co stanowi poważne zagrożenie dla całego systemu.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.08, która naprawia tę podatność.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-97356Nieznane
W komponencie ViewFile w Label Manager w Apache OFBiz 24.09.07 wykryto podatność External Control of File Name or Path. Uwierzytelniony użytkownik z uprawnieniem LABEL_MANAGER_VIEW może odczytać dowolne pliki properties i XML na serwerze, w tym klucz podpisywania JWT, co umożliwia sfałszowanie sesji administratora.
- CVE-2026-97355Nieznane
W komponencie AdminServer w Apache OFBiz 24.09.07 wykryto podatność Use of Hard-coded Password. Atakujący mogący dotrzeć do portu kontrolnego AdminServer może odpytać o stan serwera i wywołać nieuwierzytelnione zatrzymanie instancji przy użyciu stałego domyślnego klucza kontrolnego z start.properties.
- CVE-2026-92887Nieznane
W parserze definicji .rest.xml (ModelApiReader) frameworka REST API w Apache OFBiz do 24.09.07 wykryto nieprawidłową wartość domyślną. Zdalny, nieuwierzytelniony atakujący może wywołać operację REST API bez ważnych poświadczeń, gdy definicja pomija atrybut auth, który jest błędnie interpretowany jako false zamiast true.
- CVE-2026-83538Nieznane
Brak autoryzacji w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu zdalnemu atakującemu ujawnić wewnętrzne rekordy biznesowe (dane organizacji, pracowników, katalogu produktów i sklepów) poprzez odwołanie się do kilku endpointów pomocniczych w aplikacjach Human Resources, Catalog i Order Manager, które pomijają uwierzytelnianie i nie sprawdzają uprawnień.
- CVE-2026-114277Nieznane
Obejście uwierzytelniania przez dane uznane za niezmienne w opcjonalnej integracji Janrain Engage Social Login w komponencie ecommerce Apache OFBiz przed 24.09.08 pozwala na nieprawidłowe powiązanie uwierzytelnionych tożsamości zewnętrznych z lokalnymi kontami użytkowników.
- CVE-2026-114272Nieznane
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w komponencie przeglądania treści w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania treści w zakresie roli na odczyt danych treści, do których nie ma uprawnień, poprzez żądanie ViewSimpleContent łączące contentId, do którego ma dostęp, z dataResourceId innej treści.
- CVE-2026-114271Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w usługach list zakupowych. Uwierzytelniony użytkownik o niskich uprawnieniach, np. samodzielnie zarejestrowany klient e-commerce, może zmodyfikować lub przejąć listę zakupową innej osoby i odczytać jej zawartość, podając identyfikator cudzej listy w żądaniu do endpointu aktualizacji.
- CVE-2026-114235Nieznane
W komponencie Order w Apache OFBiz 24.09 przed 24.09.08 występuje bezpośrednie żądanie (forced browsing). Uwierzytelniony użytkownik mający jedynie uprawnienia do przeglądania Order Managera może zmienić numer śledzenia przesyłki dowolnego zamówienia poprzez bezpośrednie żądanie do endpointu updateTrackingNumber.
- CVE-2026-114233Nieznane
W Order Manager w Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowe przypisanie uprawnień. Uwierzytelniony użytkownik posiadający jedynie uprawnienie ORDERMGR_VIEW, bez ORDERMGR_UPDATE i bez roli w zamówieniu, może modyfikować zatwierdzone zamówienia — zmieniać adres dostawy i metodę wysyłki grupy wysyłkowej lub dodawać pozycje z nadpisaną ceną — poprzez usługi updateShipGroupShipInfo i appendOrderItem.
- CVE-2026-114229Nieznane
W przeglądarce obrazów katalogu w Apache OFBiz 24.09 przed 24.09.08 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron (cross-site scripting). Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w sesji przeglądarki zalogowanego użytkownika back-office poprzez spreparowany adres URL viewImage, który użytkownik otworzy w aplikacji.
Oryginalny opis (angielski, źródło NVD)
Incorrect Implementation of Authentication Algorithm in the password-reset and login JWT validation in Apache OFBiz 24.09 before 24.09.08 on all platforms allows an attacker who has obtained a user's password-reset token (via email interception, log exposure, or a man-in-the-middle on the mail transport) to authenticate as that user and obtain a full, unrestricted session, including administrative access if the targeted account is an administrator, by submitting the token directly to the login endpoint instead of the intended password-change flow. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS