CVE-2026-84183 in OFBiz
Zusammenfassung
von VulDB • 05.11.2026
Falsche Autorisierung in der Methode `updateLayout` von applications/content/minilang/layout/LayoutEvents.xml in Apache OFBiz 24.09 vor Version 24.09.08 auf allen Plattformen ermöglicht es einem entfernten, authentifizierten Angreifer mit nur den Berechtigungen OFBTOOLS_VIEW und CONTENTMGR_VIEW, beliebige Befehle als Benutzer des OFBiz-Prozesses auszuführen. Dies geschieht durch Ausnutzung der Autorisierungsprüfung von `updateLayout`, die lediglich die feste Operation CONTENT_CREATE validiert, anstatt eine Aktualisierungsberechtigung für das tatsächliche Content-Datensatz-Objekt und ein unabhängig ausgewähltes DataResource zu prüfen. Der Angreifer kann damit einen bestehenden Content-Datensatz mit dem Zweck RESPONSE neu verknüpfen und ein beliebiges, unabhängig ausgewähltes DataResource in eine OFBIZ_FILE/FTL-Ressource umwandeln, die auf das OFBiz-Zugriffsprotokoll (Access Log) zeigt. Das Protokoll wird durch einen speziell angefertigten User-Agent-Header vergiftet und über den normalen authentifizierten showContent-Pfad ausgewertet. Es wird empfohlen, auf Version 24.09.08 zu aktualisieren, die dieses Problem behebt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.