CVE-2026-84183 in OFBiz
الملخص
بحسب VulDB • 05/11/2026
Authorization غير صحيحة في الدالة البسيطة `updateLayout` الموجودة في الملف `applications/content/minilang/layout/LayoutEvents.xml` ضمن Apache OFBiz الإصدار 24.09 قبل الإصدار الفرعي 24.09.08 على جميع المنصات، مما يتيح لمهاجم عن بُعد ومصادق عليه (يحمل فقط صلاحيات `OFBTOOLS_VIEW` و `CONTENTMGR_VIEW`) تنفيذ أوامر عشوائية بصفتة مستخدم عملية OFBiz. يتم ذلك من خلال استغلال فحص التفويض في `updateLayout` — الذي يتحقق فقط من العملية الثابتة `CONTENT_CREATE` بدلاً من التحقق من صلاحية التحديث على سجل المحتوى الفعلي ومورد البيانات (`DataResource`) المحدد بشكل مستقل — لإعادة ربط سجل محتوى موجود بغرض `RESPONSE`، وتحويل مورد بيانات عشوائي ومحدد بشكل مستقل إلى مورد من نوع `OFBIZ_FILE/FTL` يشير إلى ملف وصول OFBiz (access log)، والذي تم تسميمه عبر رأس `User-Agent` مُعدّ بعناية ويتم تقييمه عبر مسار العرض العادي والمصادق عليه (`showContent`). يُنصح المستخدمون بالترقية إلى الإصدار 24.09.08، الذي يصلح هذه المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.