CVE-2026-82904
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Nieograniczone zużycie zasobów w ServiceMultiEventHandler w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu atakującemu na zablokowanie wątku serwera na wybraną liczbę synchronicznych wywołań usług (do maksimum liczby całkowitej) poprzez jedno małe żądanie HTTP, ponieważ liczba wierszy jest wyliczana z sufiksu 'o' bez górnego limitu, a handler wykonuje pętlę dispatcher.runSync.
Ocena ryzyka
Atakujący może wywołać atak typu denial-of-service, blokując wątki serwera i uniemożliwiając obsługę innych żądań.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.08, która naprawia tę podatność.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-97356Nieznane
W komponencie ViewFile w Label Manager w Apache OFBiz 24.09.07 wykryto podatność External Control of File Name or Path. Uwierzytelniony użytkownik z uprawnieniem LABEL_MANAGER_VIEW może odczytać dowolne pliki properties i XML na serwerze, w tym klucz podpisywania JWT, co umożliwia sfałszowanie sesji administratora.
- CVE-2026-97355Nieznane
W komponencie AdminServer w Apache OFBiz 24.09.07 wykryto podatność Use of Hard-coded Password. Atakujący mogący dotrzeć do portu kontrolnego AdminServer może odpytać o stan serwera i wywołać nieuwierzytelnione zatrzymanie instancji przy użyciu stałego domyślnego klucza kontrolnego z start.properties.
- CVE-2026-92887Nieznane
W parserze definicji .rest.xml (ModelApiReader) frameworka REST API w Apache OFBiz do 24.09.07 wykryto nieprawidłową wartość domyślną. Zdalny, nieuwierzytelniony atakujący może wywołać operację REST API bez ważnych poświadczeń, gdy definicja pomija atrybut auth, który jest błędnie interpretowany jako false zamiast true.
- CVE-2026-83538Nieznane
Brak autoryzacji w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu zdalnemu atakującemu ujawnić wewnętrzne rekordy biznesowe (dane organizacji, pracowników, katalogu produktów i sklepów) poprzez odwołanie się do kilku endpointów pomocniczych w aplikacjach Human Resources, Catalog i Order Manager, które pomijają uwierzytelnianie i nie sprawdzają uprawnień.
- CVE-2026-114277Nieznane
Obejście uwierzytelniania przez dane uznane za niezmienne w opcjonalnej integracji Janrain Engage Social Login w komponencie ecommerce Apache OFBiz przed 24.09.08 pozwala na nieprawidłowe powiązanie uwierzytelnionych tożsamości zewnętrznych z lokalnymi kontami użytkowników.
- CVE-2026-114272Nieznane
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w komponencie przeglądania treści w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania treści w zakresie roli na odczyt danych treści, do których nie ma uprawnień, poprzez żądanie ViewSimpleContent łączące contentId, do którego ma dostęp, z dataResourceId innej treści.
- CVE-2026-114271Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w usługach list zakupowych. Uwierzytelniony użytkownik o niskich uprawnieniach, np. samodzielnie zarejestrowany klient e-commerce, może zmodyfikować lub przejąć listę zakupową innej osoby i odczytać jej zawartość, podając identyfikator cudzej listy w żądaniu do endpointu aktualizacji.
- CVE-2026-114235Nieznane
W komponencie Order w Apache OFBiz 24.09 przed 24.09.08 występuje bezpośrednie żądanie (forced browsing). Uwierzytelniony użytkownik mający jedynie uprawnienia do przeglądania Order Managera może zmienić numer śledzenia przesyłki dowolnego zamówienia poprzez bezpośrednie żądanie do endpointu updateTrackingNumber.
- CVE-2026-114233Nieznane
W Order Manager w Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowe przypisanie uprawnień. Uwierzytelniony użytkownik posiadający jedynie uprawnienie ORDERMGR_VIEW, bez ORDERMGR_UPDATE i bez roli w zamówieniu, może modyfikować zatwierdzone zamówienia — zmieniać adres dostawy i metodę wysyłki grupy wysyłkowej lub dodawać pozycje z nadpisaną ceną — poprzez usługi updateShipGroupShipInfo i appendOrderItem.
- CVE-2026-114229Nieznane
W przeglądarce obrazów katalogu w Apache OFBiz 24.09 przed 24.09.08 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron (cross-site scripting). Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w sesji przeglądarki zalogowanego użytkownika back-office poprzez spreparowany adres URL viewImage, który użytkownik otworzy w aplikacji.
Oryginalny opis (angielski, źródło NVD)
Uncontrolled Resource Consumption in ServiceMultiEventHandler in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to pin a server request thread for an attacker-chosen number of synchronous service dispatches, up to the signed-integer maximum, by submitting a single small HTTP request whose parameter names encode a row count via the "o" suffix used by multi-form submissions, because UtilHttp.getMultiFormRowCount derives that count from the largest such suffix with no upper bound and ServiceMultiEventHandler.invoke then loops that many times calling dispatcher.runSync, with the request-map for getFinAccountTransRunningTotalAndBalances reaching this handler with no authentication or CSRF requirement on a stock deployment. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS