Podatności Apache OFBiz

Brak autoryzacji w XmlDsDump w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z podstawowymi uprawnieniami webtools (OFBTOOLS_VIEW, WEBTOOLS_VIEW) na eksport zawartości dowolnej encji bazy danych, w tym UserLogin z hashami haseł, do dowolnej ścieżki systemu plików, oraz na tworzenie katalogów lub obcinanie plików, ponieważ akcja ekranu zapisuje dane przed sprawdzeniem uprawnień ENTITY_MAINT.

Wstrzyknięcie wyrażenia Expression Language w EmailServices w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniami OFBTOOLS_VIEW i ACCOUNTING_VIEW na wykonanie dowolnych poleceń systemowych jako użytkownik procesu OFBiz poprzez przesłanie wyrażenia ${groovy:...} w polu bodyText lub subject formularza Send Per Email, ponieważ wartości są przekazywane przez FlexibleStringExpander.expandString bez ograniczeń sandboxa.

Wstrzyknięcie szablonu po stronie serwera w MacroScreenRenderer w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniami podglądu (np. CATALOG_VIEW i OFBTOOLS_VIEW) na wykonanie dowolnych poleceń systemowych jako konto usługi OFBiz poprzez umieszczenie apostrofu i wyrażenia FreeMarker w wartości parametru linku ekranu, ponieważ renderLink konkatenuje wartości bez cytowania i escapowania.

Nieograniczone zużycie zasobów w ServiceMultiEventHandler w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu atakującemu na zablokowanie wątku serwera na wybraną liczbę synchronicznych wywołań usług (do maksimum liczby całkowitej) poprzez jedno małe żądanie HTTP, ponieważ liczba wierszy jest wyliczana z sufiksu 'o' bez górnego limitu, a handler wykonuje pętlę dispatcher.runSync.

Server-Side Request Forgery w ViewDataFile w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z podstawowymi uprawnieniami webtools (OFBTOOLS_VIEW, WEBTOOLS_VIEW) na wywołanie dowolnych wychodzących żądań HTTP przez serwer, a atakującemu z uprawnieniami ENTITY_MAINT i DATAFILE_MAINT na odczyt dowolnych plików lokalnych przez URL file:, poprzez parametry DEFINITION_LOCATION lub DATAFILE_LOCATION, ponieważ ViewDataFile.groovy przetwarza je jako java.net.URL bez listy dozwolonych schematów, filtru hostów lub kontroli wyjścia.

W module księgowości brakuje sprawdzenia uprawnień ACCOUNTING_UPDATE / ACCOUNTING_CREATE, co pozwala użytkownikowi posiadającemu jedynie uprawnienie ACCOUNTING_VIEW na aktualizację lub tworzenie PaymentApplication. Problem dotyczy wersji przed 24.09.08.

Podatność na wstrzykiwanie kodu w Apache OFBiz umożliwia niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi z uprawnieniami edycji treści/zasobów danych przeprowadzenie ataku przez wstrzyknięcie szablonu, co może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.07.

Apache OFBiz przed wersją 24.09.07 zawiera podatność na eskalację uprawnień, która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na uzyskanie wyższych uprawnień.

W Apache OFBiz występuje podatność związana z niewłaściwą kontrolą generacji kodu oraz niewłaściwą neutralizacją dyrektyw w dynamicznie ocenianym kodzie. Problem ten dotyczy wersji przed 24.09.06.

Apache OFBiz Webtools przed wersją 24.09.06 zawiera podatność typu Improper Authorization (niewłaściwa autoryzacja).

Apache OFBiz przed wersją 24.09.06 zawiera podatność typu Code Injection (wstrzyknięcie kodu) w usługach poczty e-mail.

W podatności Server-Side Request Forgery (SSRF) w Apache OFBiz przed wersją 24.09.06, atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych lub zewnętrznych zasobów.

W podatności CVE-2026-31909 w Apache OFBiz występuje ujawnienie wrażliwych informacji osobom nieuprawnionym. Problem dotyczy wersji przed 24.09.06.

Podatność Cross-site Scripting (XSS) w Apache OFBiz wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji przed 24.09.06.

W Apache OFBiz w środowiskach wielodostępnych (multi-tenant) występuje luka niewłaściwej kontroli dostępu. Problem dotyczy wersji przed 24.09.06.

Podatność nieprawidłowego uwierzytelniania w Apache OFBiz pozwala na obejście mechanizmów autoryzacji. Problem dotyczy wersji przed 24.09.06.

Apache OFBiz przed wersją 24.09.06 zawiera podatność typu Expression Language Injection (wstrzyknięcie wyrażeń EL) wynikającą z niewłaściwej neutralizacji specjalnych elementów.

Apache OFBiz przed wersją 24.09.06 zawiera podatności typu Cross-site Scripting (XSS), Path Traversal oraz Code Injection wynikające z niewłaściwej neutralizacji danych wejściowych i ograniczeń ścieżek.

Apache OFBiz przed wersją 24.09.06 zawiera podatność typu Improper Input Validation (niewłaściwa walidacja danych wejściowych).

W podatności SSRF w Apache OFBiz, występującej w operacjach komponentu Content, atakujący może wysyłać złośliwe żądania do serwera. Problem dotyczy wersji Apache OFBiz przed 24.09.06.

W Apache OFBiz występuje podatność typu path traversal (niewłaściwe ograniczenie ścieżki do katalogu). Problem dotyczy wersji przed 24.09.06 i może pozwolić na dostęp do plików spoza dozwolonego katalogu.

Apache OFBiz przed wersją 24.09.06 zawiera podatność typu Template Engine Injection (wstrzyknięcie do silnika szablonów) wynikającą z niewłaściwej neutralizacji specjalnych elementów. W wersji 24.09.06 rekordy "Data Resource" z dataTemplateTypeId = "FTL" nie są już obsługiwane, a grupa zabezpieczeń "Ecommerce Customer" nie zawiera już uprawnień do zarządzania treścią.

W Apache OFBiz występuje podatność typu reflected cross-site scripting (XSS). Problem dotyczy wersji przed 24.09.03.

W Apache OFBiz występuje luka nieograniczonego przesyłania plików niebezpiecznego typu. Problem dotyczy wersji przed 24.09.03 i może prowadzić do przesłania złośliwego pliku.