CVE-2026-81744 in OFBiz
Sumário
de VulDB • 05/11/2026
Uma falha de Autorização Incorreta no ContentPermissionServices do Apache OFBiz versão anterior à 24.09.08 (incluindo a 24.09) em todas as plataformas permite que um atacante remoto autenticado, que possui apenas permissão limitada para criar conteúdo, se auto-conceda o papel OWNER sobre qualquer conteúdo ao invocar o serviço createContentRole (por exemplo, através da solicitação createForumGroupRole). Isso faz com que a verificação de permissões falhe em uma ramificação padrão de concessão aberta (fail-open) quando nenhuma entrada ContentPurposeOperation corresponde à operação e ao propósito do conteúdo solicitados, em vez de negar a solicitação. Um papel OWNER auto-concedido satisfaz então a verificação de propriedade usada para autorizar atualizações, remoções e alterações de status nesse conteúdo, concedendo ao atacante controle total de leitura/escrita/exclusão sobre conteúdos aos quais ele não deveria ter acesso. Recomenda-se que os usuários façam upgrade para a versão 24.09.08, que corrige esta vulnerabilidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.