CVE-2026-84183 in OFBiz
Sumário
de VulDB • 05/11/2026
Uma falha de Autorização Incorreta no método simples updateLayout em applications/content/minilang/layout/LayoutEvents.xml do Apache OFBiz 24.09 antes da versão 24.09.08 em todas as plataformas permite que um atacante remoto autenticado, detentor apenas das permissões OFBTOOLS_VIEW e CONTENTMGR_VIEW, execute comandos arbitrários como o usuário do processo OFBiz. Isso ocorre ao explorar a verificação de autorização do updateLayout — que valida apenas a operação fixa CONTENT_CREATE em vez de uma permissão de atualização no registro de Conteúdo real e um DataResource selecionado independentemente — para relinkar um registro de Conteúdo existente com propósito RESPONSE e converter um DataResource arbitrário, selecionado independentemente, em um recurso OFBIZ_FILE/FTL apontando para o log de acesso do OFBiz. O log é envenenado (poisoned) por meio de um cabeçalho User-Agent manipulado ad hoc e avaliado através da rota showContent autenticada normal. Recomenda-se aos usuários atualizarem para a versão 24.09.08, que corrige esta vulnerabilidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.