Dans Apache OFBiz 24.09 avant 24.09.08, l’action ViewDataFile pouvait émettre des requêtes HTTP arbitraires depuis le serveur et, avec des permissions supplémentaires, lire des fichiers locaux. Un attaquant distant authentifié disposant des permissions webtools de base peut déclencher l’action ; mettre à niveau vers 24.09.08.
Source : NVD — CVE-2026-82902
Analyse technique
Les paramètres DEFINITION_LOCATION et DATAFILE_LOCATION sont traités comme des URL sans liste d’autorisations de schémas, filtrage d’hôte ou contrôle de sortie réseau ; l’action s’exécute avant les contrôles de permission de l’écran. La lecture de fichiers locaux requiert également ENTITY_MAINT et DATAFILE_MAINT.
Impact, versions et correctif
Action recommandée
Mettre à niveau Apache OFBiz vers la version 24.09.08.
Sources
Priorisation DFS : P4 · 1 source(s).