Podatności Apache OFBiz

W komponencie ViewFile w Label Manager w Apache OFBiz 24.09.07 wykryto podatność External Control of File Name or Path. Uwierzytelniony użytkownik z uprawnieniem LABEL_MANAGER_VIEW może odczytać dowolne pliki properties i XML na serwerze, w tym klucz podpisywania JWT, co umożliwia sfałszowanie sesji administratora.

W komponencie AdminServer w Apache OFBiz 24.09.07 wykryto podatność Use of Hard-coded Password. Atakujący mogący dotrzeć do portu kontrolnego AdminServer może odpytać o stan serwera i wywołać nieuwierzytelnione zatrzymanie instancji przy użyciu stałego domyślnego klucza kontrolnego z start.properties.

W parserze definicji .rest.xml (ModelApiReader) frameworka REST API w Apache OFBiz do 24.09.07 wykryto nieprawidłową wartość domyślną. Zdalny, nieuwierzytelniony atakujący może wywołać operację REST API bez ważnych poświadczeń, gdy definicja pomija atrybut auth, który jest błędnie interpretowany jako false zamiast true.

Brak autoryzacji w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu zdalnemu atakującemu ujawnić wewnętrzne rekordy biznesowe (dane organizacji, pracowników, katalogu produktów i sklepów) poprzez odwołanie się do kilku endpointów pomocniczych w aplikacjach Human Resources, Catalog i Order Manager, które pomijają uwierzytelnianie i nie sprawdzają uprawnień.

Obejście uwierzytelniania przez dane uznane za niezmienne w opcjonalnej integracji Janrain Engage Social Login w komponencie ecommerce Apache OFBiz przed 24.09.08 pozwala na nieprawidłowe powiązanie uwierzytelnionych tożsamości zewnętrznych z lokalnymi kontami użytkowników.

Obejście autoryzacji przez klucz kontrolowany przez użytkownika w komponencie przeglądania treści w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania treści w zakresie roli na odczyt danych treści, do których nie ma uprawnień, poprzez żądanie ViewSimpleContent łączące contentId, do którego ma dostęp, z dataResourceId innej treści.

W Apache OFBiz 24.09 przed 24.09.08 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w usługach list zakupowych. Uwierzytelniony użytkownik o niskich uprawnieniach, np. samodzielnie zarejestrowany klient e-commerce, może zmodyfikować lub przejąć listę zakupową innej osoby i odczytać jej zawartość, podając identyfikator cudzej listy w żądaniu do endpointu aktualizacji.

W komponencie Order w Apache OFBiz 24.09 przed 24.09.08 występuje bezpośrednie żądanie (forced browsing). Uwierzytelniony użytkownik mający jedynie uprawnienia do przeglądania Order Managera może zmienić numer śledzenia przesyłki dowolnego zamówienia poprzez bezpośrednie żądanie do endpointu updateTrackingNumber.

W Order Manager w Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowe przypisanie uprawnień. Uwierzytelniony użytkownik posiadający jedynie uprawnienie ORDERMGR_VIEW, bez ORDERMGR_UPDATE i bez roli w zamówieniu, może modyfikować zatwierdzone zamówienia — zmieniać adres dostawy i metodę wysyłki grupy wysyłkowej lub dodawać pozycje z nadpisaną ceną — poprzez usługi updateShipGroupShipInfo i appendOrderItem.

W przeglądarce obrazów katalogu w Apache OFBiz 24.09 przed 24.09.08 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron (cross-site scripting). Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w sesji przeglądarki zalogowanego użytkownika back-office poprzez spreparowany adres URL viewImage, który użytkownik otworzy w aplikacji.

W walidacji JWT przy resetowaniu hasła i logowaniu w Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowa implementacja algorytmu uwierzytelniania. Atakujący, który uzyskał token resetowania hasła użytkownika (np. przez przechwycenie e-maila, ujawnienie logów lub atak man-in-the-middle na transport poczty), może uwierzytelnić się jako ten użytkownik i uzyskać pełną, nieograniczoną sesję, w tym dostęp administracyjny, jeśli konto docelowe jest kontem administratora, poprzez przesłanie tokenu bezpośrednio do endpointu logowania zamiast zamierzonego procesu zmiany hasła.

W usługach kont finansowych w Apache OFBiz 24.09 przed 24.09.08 występuje bezpośrednie żądanie (forced browsing). Uwierzytelniony użytkownik z dowolnym ważnym kontem o niskich uprawnieniach może tworzyć, modyfikować i anulować transakcje oraz salda kont finansowych bez odpowiednich uprawnień, wysyłając bezpośrednie żądania do usług createFinAccount, updateFinAccount, deleteFinAccount, createFinAccountTrans, createFinAccountRole, createFinAccountAuth, setFinAccountTransStatus i depositWithdrawPayments.

W zwrotach zamówień w Apache OFBiz 24.09 przed 24.09.08 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Uwierzytelniony użytkownik z niskimi uprawnieniami do Order Managera może powiązać OrderItem innej strony z ReturnItem na ReturnHeader, który kontroluje, poprzez usługę createReturnItem.

W komponencie Order Manager w Apache OFBiz 24.09.07 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Uwierzytelniony użytkownik z jedynie uprawnieniami do przeglądania zamówień może modyfikować lub tworzyć rekordy OrderPaymentPreference należące do zamówień poza jego zakresem uprawnień, podając identyfikator orderPaymentPreferenceId należący do innego zamówienia w usłudze updateOrderPaymentPreference.

W ordermgr w Apache OFBiz brakuje sprawdzenia uprawnienia ORDERMGR_UPDATE, co pozwala użytkownikowi posiadającemu jedynie uprawnienie ORDERMGR_VIEW na aktualizację zamówień. Podatność dotyczy wersji przed 24.09.08.

W uwierzytelnianiu tokenów JWT w Apache OFBiz 24.09.06 i 24.09.07 występuje użycie zaszyfrowanego klucza na stałe (hard-coded). Nieuwierzytelniony atakujący z dostępem sieciowym może uzyskać pełny dostęp administracyjny poprzez sfałszowany JWT podpisany domyślną wartością security.token.key, którą CVE-2026-31986 usunęło z nowo generowanych konfiguracji, w przypadku wdrożenia zaktualizowanego z wersji sprzed tej poprawki, które zachowało istniejący plik security.properties z włączonym security.internal.sso.enabled. Aktualizacja sama w sobie nie zastępuje już skonfigurowanego klucza — wdrożenia, które przeniosły framework/security/config/security.properties z wersji sprzed poprawki CVE-2026-31986, muszą również uruchomić './gradlew rotateSecretKeys' po aktualizacji, ponieważ istniejące zadanie generateSecretKeys pozostawia już ustawioną wartość bez zmian.

Nieprawidłowa walidacja danych wejściowych w module zwrotów zamówień w Apache OFBiz 24.09.07 pozwala uwierzytelnionemu użytkownikowi bez uprawnienia ORDERMGR_CREATE na zapisanie dowolnej ceny pozycji zwrotu poprzez usługę createReturnItem, omijając limit ceny obliczany po stronie serwera.

Bezpośrednie żądanie (wymuszone przeglądanie) w komponencie Content Manager w Apache OFBiz 24.09.07 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami tylko do przeglądania treści (OFBTOOLS_VIEW i CONTENTMGR_VIEW) na zmianę nadrzędnego powiązania treści, których nie jest właścicielem, poprzez bezpośrednie żądanie POST do punktu końcowego moveContentJson, który nie sprawdza uprawnień.

Podatność CVE-2016-4462 pozwala na manipulację parametrem URL externalLoginKey przez złośliwego, zalogowanego użytkownika, co może prowadzić do wykonania złośliwego kodu zdalnego poprzez odpowiednio skonstruowany szablon Freemarker.

W Apache OFBiz 24.09 przed 24.09.08 wykryto podatność Code Injection. Zdalny nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze poprzez przygotowanie złośliwego XML widgetu w uploadzie multipart i nadpisanie mainDecoratorLocation, co prowadzi do oceny niesandboxowanego wyrażenia Groovy.

Obejście uwierzytelniania przez powtórzenie przechwyconego klucza w ExternalLoginKeysManager w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu atakującemu, który przechwyci aktywny externalLoginKey, na uzyskanie pełnej sesji jako użytkownik, który go wydał, we wszystkich aplikacjach, ponieważ klucz jest akceptowany jako poświadczenie bearer bez powiązania z klientem, nie wygasa i nie jest unieważniany po użyciu.

W podatności CVE-2026-45434 w Apache OFBiz występuje błąd w logice zmiany hasła, który może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.06.

W podatności CVE-2026-41919 występuje niewłaściwa neutralizacja specjalnych elementów używanych w zapytaniach LDAP, co prowadzi do podatności na ataki typu LDAP Injection w Apache OFBiz.

Podatność związana z użyciem zakodowanego klucza kryptograficznego w Apache OFBiz. Problem dotyczy wersji przed 24.09.06.

Podatność typu path traversal (niewłaściwe ograniczenie ścieżki do katalogu) w Apache OFBiz. Problem dotyczy wersji przed 18.12.14. Zaleca się aktualizację do wersji 18.12.14, która naprawia tę podatność.

Apache OFBiz w wersji 10.04.x przed 10.04.02 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.

Apache OFBiz w wersjach 12.04.x przed 12.04.06 oraz 13.07.x przed 13.07.03 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z biblioteką Apache Commons Collections.

W Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowa autoryzacja w ContentWorker. Zdalny nieuwierzytelniony atakujący może wywołać dowolną usługę OFBiz z kontrolowanymi parametrami, uzyskując zapis i usuwanie plików oraz SSRF, poprzez żądanie publicznego widoku showHelpPublic dla wiersza Content, którego pole serviceName ustawił użytkownik z uprawnieniami CONTENTMGR_CREATE lub CONTENTMGR_UPDATE.

W Apache OFBiz 24.09 przed 24.09.08 występuje SSRF w SurveyWrapper. Uwierzytelniony użytkownik back-office z uprawnieniami katalogowymi może ustawić dowolny URL jako lokalizację szablonu ankiety, powodując pobranie i wyrenderowanie adresów wewnętrznych, metadanych chmury lub plików lokalnych przez file://, a treść jest widoczna w odpowiedzi HTTP dla klientów.

W Apache OFBiz 24.09 przed 24.09.08 występuje wstrzyknięcie XML External Entity (XXE) w ContentWorker. Uwierzytelniony atakujący z uprawnieniami autora treści może odczytać dowolne pliki serwera i wywołać SSRF, przechowując spreparowany zasób DataResource text/xml z deklaracją encji zewnętrznej, która jest przetwarzana przez domyślny parser FreeMarker bez ograniczeń DTD i encji zewnętrznych.

W Apache OFBiz 24.09 przed 24.09.08 na wdrożeniach z MySQL/MariaDB występuje wstrzyknięcie SQL w usłudze performFind silnika encji. Zdalny nieuwierzytelniony atakujący może ujawnić dowolne wiersze encji, wysyłając żądanie find z ignorowaniem wielkości liter (_ic=Y) ze spreparowaną wartością, ponieważ SqlJdbcUtil.addValueSingle wstawia wartość bezpośrednio do SQL, a podwajanie apostrofów jest niewystarczające przy interpretacji backslashy w MySQL/MariaDB.

Brak autoryzacji w ProductSearchEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na masową modyfikację powiązań kategorii i cech produktów poprzez zdarzenia mutacji wyników wyszukiwania. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują operacje zapisu bez sprawdzania uprawnień DELETE/CREATE.

Nieprawidłowa autoryzacja w ContentPermissionServices w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z ograniczonym uprawnieniem do tworzenia treści na samodzielne nadanie roli OWNER na dowolnej treści poprzez wywołanie usługi createContentRole. Kontrola uprawnień przechodzi do domyślnej gałęzi zezwalającej, gdy żaden wpis ContentPurposeOperation nie pasuje do żądanej operacji.

Brak autoryzacji w ProductEvents w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na tworzenie, modyfikację lub usuwanie danych produktów, powiązań cech i kategorii poprzez bezpośrednie wywołanie zdarzeń szybkiej administracji katalogiem. Serwlet autoryzuje żądanie tylko na podstawie uprawnienia widoku, podczas gdy metody zdarzeń wykonują zapisy bez sprawdzania uprawnień aktualizacji/tworzenia.

Podatność path traversal i brak kontroli autoryzacji w usługach imageCrop i imageRotate w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na odczyt dowolnych plików możliwych do przetworzenia jako obrazy oraz zapis przetworzonego obrazu do dowolnego katalogu z prawem zapisu procesu OFBiz. Wykorzystuje spreparowane parametry productId i imageName.

Podatność path traversal i brak kontroli autoryzacji w usłudze replaceImageToExistImage w Apache OFBiz do 24.09.07 pozwala uwierzytelnionemu atakującemu z uprawnieniem tylko do przeglądania katalogu na nadpisanie dowolnych plików z prawem zapisu procesu OFBiz zawartością zakodowaną w JPEG. Wykorzystuje spreparowane parametry productId, dataResourceNameExist i dataResourceNameReplace.

W wdrożeniach multitenant ContextFilter i LoginWorker budowały nazwę delegatora dla dzierżawcy na podstawie parametru userTenantId dostarczonego w żądaniu i żądały delegatora przed potwierdzeniem istnienia dzierżawcy. Wewnętrzny cache DelegatorFactory przechowuje każdą nazwę delegatora, w tym te, które nie zostały rozwiązane, więc nieuwierzytelniony atakujący może wysyłać strumień dowolnych identyfikatorów dzierżawców, aby nieograniczenie powiększać ten cache.

Brak kontroli autoryzacji w usłudze getHRChild w Apache OFBiz do 24.09.07 pozwala zdalnemu nieuwierzytelnionemu atakującemu na rekurencyjne wyliczenie danych organizacji i pracowników zasobów ludzkich, w tym nazw i identyfikatorów działów, stanowisk, identyfikatorów pracowników, zajmowanych stanowisk i relacji organizacyjnych. Wykorzystuje spreparowany parametr partyId.

Brak egzekwowania autoryzacji w RequestHandler.renderView w Apache OFBiz 24.09 przed 24.09.08 pozwala zdalnemu nieuwierzytelnionemu atakującemu na obejście polityki uwierzytelniania request-map dla chronionych widoków poprzez dostarczenie spreparowanej wartości _LAST_VIEW_NAME_. Wartość jest przechowywana jako stan zapisanego widoku w sesji anonimowej i później renderowana bez ponownego stosowania wymogu uwierzytelnienia.

Nieprawidłowa autoryzacja w RequestHandler w Apache OFBiz 24.09 przed 24.09.08 pozwala zdalnemu nieuwierzytelnionemu atakującemu na obejście wymogu uwierzytelnienia chronionego widoku poprzez dołączenie go jako sufiksu ścieżki do publicznego żądania. Serwlet autoryzuje żądanie na podstawie publicznego komponentu ścieżki, jednocześnie renderując chroniony widok z sufiksu.

Podatność typu Resource Injection w Apache OFBiz pozwala uwierzytelnionemu użytkownikowi z dostępem do komponentu sfa na nadpisanie usługi używanej podczas importu vcard i uzyskanie dostępu do innej usługi. Podatność dotyczy wersji przed 24.09.08.

W Apache OFBiz nieuwierzytelniony atakujący może wykorzystać obsługę plików tymczasowych, uzyskać dostęp do otwartego deskryptora pliku i wstrzyknąć URI "file:", powodując załadowanie przez OFBiz definicji Screen kontrolowanej przez atakującego. Podatność dotyczy wersji przed 24.09.08.

Uwierzytelniony atakujący może wykorzystać podatność Path Traversal w zarządzaniu obrazami katalogu w Apache OFBiz, aby zapisywać pliki obrazów poza zamierzonym katalogiem. Podatność dotyczy wersji przed 24.09.08.

W Apache OFBiz 24.09 przed 24.09.08 wykryto podatność Server-Side Template Injection. Zdalny uwierzytelniony atakujący z kontem nieadministracyjnym może wykonać dowolne polecenia systemu operacyjnego jako użytkownik procesu OFBiz poprzez zdarzenie updateLayoutImage i wstrzyknięcie szablonu FTL oraz Groovy.

W Apache OFBiz 24.09 przed 24.09.08 przy włączonej wielodostępności wykryto nieprawidłową autoryzację. Zdalny uwierzytelniony atakujący z kontem o niskich uprawnieniach w jednej dzierżawie może czytać i zapisywać dane innej dzierżawy poprzez manipulację parametrem userTenantId podczas logowania.

W metodzie updateLayout w LayoutEvents.xml w Apache OFBiz 24.09 przed 24.09.08 wykryto nieprawidłową autoryzację. Zdalny uwierzytelniony atakujący z uprawnieniami OFBTOOLS_VIEW i CONTENTMGR_VIEW może wykonać dowolne polecenia jako użytkownik procesu OFBiz poprzez przełączenie rekordu Content i konwersję DataResource na zasób FTL.

Wstrzyknięcie kodu w ModelFormField w wtyczce CMS Apache OFBiz przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniami edytora treści CMS na wykonanie dowolnych poleceń systemowych jako użytkownik procesu OFBiz poprzez spreparowany parametr caContentIdTo w żądaniu HTTP POST do EditAddContent, ponieważ parametr jest interpolowany do atrybutu use-when pola formularza i przekazywany bez walidacji do GroovyUtil.eval(), którego sandbox nie ogranicza refleksji w czasie wykonania.