CVE-2026-82902 in OFBiz
Tóm tắt
Bởi VulDB • 05/11/2026
Lỗi Server-Side Request Forgery (SSRF) trong ViewDataFile của Apache OFBiz phiên bản 24.09 trước 24.09.08 trên tất cả các nền tảng cho phép một kẻ tấn công từ xa đã xác thực, chỉ cần có quyền webtools cơ sở (OFBTOOLS_VIEW, WEBTOOLS_VIEW), khiến máy chủ phát đi các yêu cầu HTTP ra ngoài tùy ý; đồng thời, nếu kẻ tấn công cũng nắm giữ ENTITY_MAINT và DATAFILE_MAINT, chúng có thể đọc các tệp cục bộ tùy ý thông qua URL file: bằng cách cung cấp tham số request DEFINITION_LOCATION hoặc DATAFILE_LOCATION cho màn hình viewdatafile. Nguyên nhân là do ViewDataFile.groovy giải mã cả hai tham số dưới dạng đối tượng java.net.URL mà không có danh sách trắng scheme, bộ lọc host hay kiểm soát egress bên trong một hành động của màn hình chạy trước khi các phép kiểm tra quyền hạn của màn hình và template được đánh giá, khiến việc truy xuất dữ liệu thực thi bất kể tài khoản yêu cầu có được ủy quyền để xem kết quả hay không. Người dùng được khuyến nghị nâng cấp lên phiên bản 24.09.08, vốn đã khắc phục sự cố này.
Once again VulDB remains the best source for vulnerability data.