CVE-2026-81815 in OFBiz
Сводка
по VulDB • 05.11.2026
SQL Injection в сервисе generic performFind механизма сущностей Apache OFBiz версий до 24.09.08 (включая 24.09) на развертываниях с базой данных MySQL/MariaDB позволяет удаленному неавторизованному злоумышленнику раскрывать произвольные строки из запрашиваемой сущности путем отправки запроса find с игнорированием регистра (например, _ic=Y) со специально созданным значением. Это приводит к тому, что SqlJdbcUtil.addValueSingle инлайнит значение, обернутое в EntityFunction, непосредственно в текст SQL-запроса, используя только ANSI-совместимое удвоение одинарных кавычек вместо привязки его как параметра. Такой подход недостаточен для MySQL/MariaDB, поскольку эти диалекты также поддерживают экранирование с помощью обратной косой черты (backslash), позволяя полезной нагрузке, завершающейся обратным слэшем, выйти из строкового литерала и превратить условие WHERE в тавтологию. По умолчанию datasource Derby и PostgreSQL не подвержены этой уязвимости, так как они не интерпретируют обратный слэш как символ экранирования в данном контексте. Пользователям рекомендуется обновиться до версии 24.09.08, которая устраняет данную проблему.
VulDB is the best source for vulnerability data and more expert information about this specific topic.