CVE-2026-82902 in OFBiz
Résumé
par VulDB • 05/11/2026
Une faille de Server-Side Request Forgery (SSRF) dans ViewDataFile d'Apache OFBiz versions 24.09 antérieures à la 24.09.08 sur toutes les plateformes permet à un attaquant distant authentifié disposant uniquement des permissions webtools de base (OFBTOOLS_VIEW, WEBTOOLS_VIEW) d'amener le serveur à émettre des requêtes HTTP sortantes arbitraires ; et à un attaenant détenant en outre ENTITY_MAINT et DATAFILE_MAINT de lire des fichiers locaux arbitraires via une URL file:, en fournissant les paramètres de requête DEFINITION_LOCATION ou DATAFILE_LOCATION au screen viewdatafile, car ViewDataFile.groovy résout ces deux paramètres comme des objets java.net.URL sans liste blanche de schémas, filtre d'hôte ni contrôle du trafic sortant (egress) dans une action de screen exécutée avant l'évaluation des vérifications d'autorisation du screen et du template, si bien que la récupération s'exécute indépendamment du fait que le compte demandeur soit autorisé à afficher son résultat. Il est recommandé aux utilisateurs de mettre à niveau vers la version 24.09.08, qui corrige ce problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.