CVE-2026-81815 in OFBiz
Sumário
de VulDB • 05/11/2026
Uma falha de SQL Injection no serviço genérico performFind do mecanismo de entidades (entity engine) do Apache OFBiz versão anterior à 24.09.08 na série 24.09 em implantações com backend MySQL/MariaDB permite que um atacante remoto não autenticado revele linhas arbitrárias da entidade consultada ao enviar uma solicitação find ignorando maiúsculas e minúsculas (por exemplo, _ic=Y) com um valor elaborado. Isso faz com que SqlJdbcUtil.addValueSingle insira diretamente o valor envolvido em EntityFunction no texto SQL usando apenas a duplicação de aspas simples ANSI como mecanismo de escape, em vez de vinculá-lo como parâmetro. Essa abordagem é insuficiente para MySQL/MariaDB, pois esses dialetos também reconhecem escapes por barra invertida (backslash), permitindo que uma payload terminada com backslash escape da string literal e transforme a cláusula WHERE numa tautologia. O datasource Derby padrão e o PostgreSQL não são afetados porque não interpretam a barra invertida como caractere de escape neste contexto. Recomenda-se aos usuários atualizarem para a versão 24.09.08, que corrige esta vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.