Apache OFBiz : contrôle d’autorisation manquant dans XmlDsDump

Veille sécuritéBackend & données

P3Élevée

Dans Apache OFBiz 24.09 avant 24.09.08, XmlDsDump ne contrôlait pas correctement les permissions avant d’exporter des données d’entité vers un chemin fourni par l’utilisateur. Un attaquant distant authentifié doté des permissions webtools de base peut notamment exporter des données vers des fichiers accessibles au processus OFBiz ; mettre à niveau vers 24.09.08.

IdentifiantCVE-2026-82916

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif24.09.08

Source : NVD — CVE-2026-82916

Analyse technique

L’action écrit les données via FileOutputStream à partir des paramètres outpath et filename non validés, avant le contrôle de permission ENTITY_MAINT. Elle peut aussi créer des répertoires ou tronquer des fichiers existants aux emplacements accessibles en écriture par le processus.

Impact, versions et correctif

Événement datéLa fiche indique une publication le 2026-11-05T14:17:06.380Z et une mise à jour le 2026-11-05T16:17:49.403Z, dans la période demandée ; il s’agit d’un défaut de sécurité substantiel avec version corrective indiquée.

ImpactExport non autorisé de données d’entités vers des chemins accessibles en écriture par OFBiz, avec possibilité de création ou de troncature de fichiers.

Versions affectéesApache OFBiz 24.09 avant 24.09.08

Version corrigée24.09.08

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-11-05T14:17:06.380Z

Mise à jour2026-11-05T16:17:49.403Z

Action recommandée

Mettre à niveau Apache OFBiz vers la version 24.09.08.

Sources

NVD — CVE-2026-82916

Priorisation DFS : P3 · 1 source(s).