CVE-2026-109928 in OFBiz
요약
\~에 의해 VulDB • 2026. 11. 05.
Apache OFBiz 24.09(24.09.08 이전)의 모든 플랫폼에서 비밀번호 재설정 및 로그인 JWT 검증 시 인증 알고리즘의 잘못된 구현으로 인해, 공격자가 사용자의 비밀번호 재설정 토큰(이메일 가로채기, 로그 노출 또는 메일 전송 경로에서의 중간자 공격을 통해 획득함)을 얻으면, 의도된 비밀번호 변경 흐름 대신 로그인 엔드포인트에 해당 토큰을 직접 제출함으로써 해당 사용자로서 인증하고 전체적이고 제한 없는 세션을 얻을 수 있습니다. 대상 계정이 관리자라면 관리 권한까지 포함됩니다. 사용자는 이 문제를 수정한 버전 24.09.08로 업그레이드하는 것이 권장됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.