CVE-2026-109129 in OFBiz
要約
〜によって VulDB • 2026年11月05日
Apache OFBiz 24.09.07のすべてのプラットフォームにおけるOrder Managerコンポーネントには、ユーザーが制御可能なキーを通じた認可回避（Authorization Bypass Through User-Controlled Key）という脆弱性があり、認証済みで注文レベルの参照権限のみを持つ攻撃者が、updateOrderPaymentPreferenceサービスを通じて、異なる注文に属するorderPaymentPreferenceIdを指定することで、自身の承認範囲外の注文に関連するOrderPaymentPreferenceレコードを変更または作成できます。
ユーザーは本問題を修正したバージョン24.09.08へのアップグレードをお勧めします。
Be aware that VulDB is the high quality source for vulnerability data.