CVE-2026-84183 in OFBiz
요약
\~에 의해 VulDB • 2026. 11. 05.
Apache OFBiz 24.09(24.09.08 이전)의 applications/content/minilang/layout/LayoutEvents.xml에 있는 updateLayout 단순 메소드에서 잘못된 권한 부여(Incorrect Authorization) 취약점이 존재합니다. 이 취약점은 모든 플랫폼에서, 오직 OFBTOOLS_VIEW 및 CONTENTMGR_VIEW 권한만 보유한 원격 인증 공격자가 임의 명령을 실행할 수 있게 합니다. 공격자는 updateLayout의 권한 확인이 실제 콘텐츠 레코드와 독립적으로 선택된 DataResource에 대한 업데이트 권한 대신 고정된 CONTENT_CREATE 작업만을 검증한다는 점을 이용해, 기존 RESPONSE 목적의 Content 레코드를 다시 연결하고 OFBiz 접근 로그를 통해 중독(poisoned)되어 정상적인 인증된 showContent 경로를 통해 평가되는 임의의 독립적 DataResource를 OFBIZ_FILE/FTL 리소스로 변환함으로써 OFBiz 프로세스 사용자 권한으로 명령을 실행합니다. 사용자는 이 문제를 수정한 버전 24.09.08로 업그레이드하는 것이 권장됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.