CVE-2026-82916 in OFBiz
요약
\~에 의해 VulDB • 2026. 11. 05.
Apache OFBiz 24.09 버전 중 24.09.08 이전의 모든 플랫폼에서 XmlDsDump에 대한 권한 부재(Missing Authorization) 취약점이 존재합니다. 이 취약점은 webtools 기본 권한(OFBTOOLS_VIEW, WEBTOOLS_VIEW)만 보유한 원격 인증 공격자가 ENTITY_MAINT 권한을 보유하지 않더라도(내보내기 기능은 이를 명시적으로 요구하며 화면상으로도 표시 및 거부함), 임의의 데이터베이스 엔티티 내용을 해당 파일 시스템 경로로 내보낼 수 있게 합니다. 여기에는 현재Password 해시가 포함된 UserLogin도 포함됩니다. 또한 공격자는 OFBiz 프로세스가 쓰기 가능한 모든 경로(웹으로 제공되는 docroot 포함)에 임의 디렉토리를 생성하거나 기존 파일을 트렁케이트(truncate)할 수 있습니다. 이는 XmlDsDump 화면 액션이 ENTITY_MAINT 권한 확인 전에 검증되지 않은 outpath 및 filename 요청 파라미터를 사용하여 new FileOutputStream로 엔티티 데이터를 작성하기 때문입니다. 반면, 동일한 기능을 수행하는 Java 서비스인 entityExportAll은 권한 확인과 파일 경로 허용 목록(allow-list)을 모두 적용합니다. 사용자는 이 문제를 해결한 버전 24.09.08으로 업그레이드할 것을 권장합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.