Veille sécuritéBackend & données
P4Non déterminée
Apache OFBiz présente une injection SQL dans le service générique performFind de son moteur d’entités lorsque le déploiement utilise MySQL ou MariaDB. Un attaquant distant non authentifié peut provoquer la divulgation de lignes arbitraires de l’entité interrogée; le défaut est corrigé dans OFBiz 24.09.08.
MySQL
IdentifiantCVE-2026-81815
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif24.09.08
Source : NVD — CVE-2026-81815
Analyse technique
Une requête find insensible à la casse avec une valeur construite peut être incorporée au texte SQL plutôt que liée comme paramètre. L’échappement des apostrophes seul ne suffit pas sur MySQL/MariaDB, qui interprètent aussi les antislashs; Derby par défaut et PostgreSQL ne sont pas indiqués comme affectés.
Impact, versions et correctif
Événement datéPublication NVD horodatée 2026-11-05T15:17:26.527Z, soit le 2026-11-05 à 17:17:26 +02, dans la période retenue.
ImpactDivulgation à distance de lignes arbitraires de l’entité interrogée, sans authentification, sur les déploiements concernés.
Versions affectéesApache OFBiz 24.09 avant 24.09.08, sur des déploiements adossés à MySQL ou MariaDB.
Version corrigée24.09.08
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-05T17:17:26+02:00
Mise à jour2026-11-05T17:17:26+02:00
Action recommandée
Mettre à niveau Apache OFBiz vers la version 24.09.08.
Sources
Priorisation DFS : P4 · 1 source(s).