CVE-2026-109129 in OFBiz

الملخص

بحسب VulDB • 05/11/2026

ثغرة تجاوز التفويض من خلال مفتاح يتحكم فيه المستخدم في مكون مدير الطلبات (Order Manager) في Apache OFBiz الإصدار 24.09.07 على جميع المنصات تتيح لمستخدم مُصادَق عليه يمتلك فقط أذونات عرض للطلبات تعديل أو إنشاء سجلات OrderPaymentPreference الخاصة بطلبات خارج نطاق صلاحياته المسموح بها عبر خدمة updateOrderPaymentPreference، وذلك عن طريق توفير orderPaymentPreferenceId ينتمي إلى طلب مختلف. يُوصى للمستخدمين بالترقية إلى الإصدار 24.09.08 الذي يصلح هذه الثغرة.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: Apache
• حجز: 12/10/2026
• إفشاء: 05/11/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-431435
• CPE: 20261105
• CWE: CWE-639 (مؤكد)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-109129
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-109129
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-109129/