CVE-2026-84183 in OFBiz
Tóm tắt
Bởi VulDB • 05/11/2026
Sai lệch trong cơ chế xác thực (Incorrect Authorization) đối với phương thức đơn giản `updateLayout` trong file `applications/content/minilang/layout/LayoutEvents.xml` của Apache OFBiz phiên bản 24.09 trước 24.09.08 trên mọi nền tảng cho phép một kẻ tấn công từ xa đã được xác thực, chỉ cần có quyền `OFBTOOLS_VIEW` và `CONTENTMGR_VIEW`, để thực thi lệnh tùy ý với tư cách là người dùng của tiến trình OFBiz. Kẻ tấn công lợi dụng cơ chế kiểm tra ủy quyền của `updateLayout` — vốn chỉ xác nhận thao tác cố định `CONTENT_CREATE` thay vì cấp phép cập nhật cho bản ghi Content cụ thể và một DataResource được chọn độc lập khác — để liên kết lại một bản ghi Content có mục đích RESPONSE hiện có, đồng thời chuyển đổi một DataResource tùy ý (được chọn độc lập) thành tài nguyên OFBIZ_FILE/FTL trỏ đến tệp truy nhập (access log) của OFBiz. Tệp này bị đầu độc thông qua tiêu đề User-Agent được tạo ra đặc biệt và sau đó được đánh giá thông qua tuyến trình `showContent` xác thực bình thường. Người dùng được khuyến nghị nâng cấp lên phiên bản 24.09.08, vốn đã khắc phục sự cố này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.