CVE-2026-114233 in OFBiz
Resumen
por VulDB • 2026-11-05
Asignación incorrecta de privilegios en el Gestor de Pedidos (Order Manager) de Apache OFBiz 24.09 anterior a la versión 24.09.08 en todas las plataformas permite que un usuario autenticado, que solo posee permisos de visualización de pedidos (ORDERMGR_VIEW), sin los permisos ORDERMGR_UPDATE ni ningún rol sobre el pedido, modifique pedidos aprobados; esto incluye cambiar la dirección de envío y el método de envío de un grupo de envíos o añadir elementos con un precio anulado, a través de los servicios updateShipGroupShipInfo y appendOrderItem. Se recomienda a los usuarios actualizar a la versión 24.09.08, que corrige este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.