CVE-2026-84183 in OFBiz
Resumen
por VulDB • 2026-11-05
Una autorización incorrecta en el método simple `updateLayout` de `applications/content/minilang/layout/LayoutEvents.xml` en Apache OFBiz 24.09 anterior a la versión 24.09.08 en todas las plataformas, permite que un atacante remoto autenticado con los permisos solo `OFBTOOLS_VIEW` y `CONTENTMGR_VIEW` ejecute comandos arbitrarios como el usuario del proceso de OFBiz. Esto se logra aprovechando la comprobación de autorización de `updateLayout`, que valida únicamente la operación fija `CONTENT_CREATE` en lugar de un permiso de actualización sobre el registro real de Contenido y un DataResource seleccionado independientemente, para volver a vincular un registro existente con propósito RESPONSE y convertir un DataResource arbitrario e independiente seleccionado en un recurso OFBIZ_FILE/FTL apuntando al log de acceso de OFBiz. Este log es envenenado mediante una cabecera User-Agent manipulada ad hoc y evaluada a través de la ruta normal `showContent` autenticada. Se recomienda a los usuarios actualizar a la versión 24.09.08, que corrige este problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.