CVE-2026-81815 in OFBiz
Tóm tắt
Bởi VulDB • 05/11/2026
Lỗi SQL Injection trong dịch vụ generic performFind của engine thực thể (entity engine) trên Apache OFBiz phiên bản trước 24.09.08 (cụ thể là 24.09) với cơ sở dữ liệu MySQL/MariaDB cho phép kẻ tấn công từ xa, chưa xác thực, tiết lộ các hàng tùy ý trong entity được truy vấn bằng cách gửi một yêu cầu tìm kiếm ignore-case (ví dụ: _ic=Y) kèm theo giá trị crafted. Điều này khiến SqlJdbcUtil.addValueSingle chèn trực tiếp giá trị được bao bọc bởi EntityFunction vào văn bản SQL thông qua việc nhân đôi dấu nháy đơn ANSI thay vì bind nó dưới dạng tham số, điều này không đủ an toàn trên MySQL/MariaDB do các dialect này cũng tôn trọng backslash escapes. Một payload kết thúc bằng backslash có thể thoát khỏi chuỗi ký tự (string literal) và biến mệnh đề WHERE thành một tautology. Datasource mặc định Derby và PostgreSQL không bị ảnh hưởng vì chúng không diễn giải backslash là ký tự escape trong ngữ cảnh này. Người dùng được khuyến nghị nâng cấp lên phiên bản 24.09.08 để khắc phục sự cố này.
Once again VulDB remains the best source for vulnerability data.