Krishna Uprit

تحدث مشكلة في التصريح عندما تكون خاصية تعدد المستأجرين (multitenancy) مفعلة، مما يسمح لمهاجم عن بُعد مصرح له يمتلك حسابًا بصلاحيات منخفضة في أحد المستأجرين بقراءة وكتابة بيانات تابعة لمستأجر آخر. يمكن للمهاجم تحقيق ذلك من خلال تقديم معامل `userTenantId` الخاص به وبيانات الاعتماد الخاصة به أثناء عملية تسجيل الدخول إلى Party Manager مقابل اسم مضيف (hostname) مرتبط بمستأجر مختلف. يحدث هذا لأن الدالة() `LoginWorker` تعطي الأولوية لمعامل الطلب `userTenantId` على المستأجر الذي يتم تحديده بواسطة `ContextFilter` عبر `TenantDomainName`. ونتيجة لذلك، تستخدم الطلبات اللاحقة هوية جلسة المهاجم وكائن الأمان الخاص به للتحقق من الأذونات، بينما يتم تنفيذ عمليات القراءة أو الكتابة على بيانات المستأجر المرتبط باسم المضيف.

توجد مشكلة حيث يؤدي عدم تحييد العناصر الخاصة بشكل صحيح في محرك القوالب إلى حقن القوالب من جانب الخادم (SSTI). يمكن لمهاجم عن بُعد مصرح له يمتلك حسابًا غير إداري تنفيذ أوامر نظام تشغيل تعسفية بصفتها مستخدم عملية OFBiz. يتم تحقيق ذلك من خلال استخدام حدث `updateLayoutImage` لكتابة حقول `DataResource` دون التحقق من الأذونات، وإعادة تعيين `DataResource` كقالب FreeMarker Template Language (FTL) يقوم بتقييم مفتاحه الأساسي. تسمح هذه العملية للمهاجم بزرع OFBiz Form Widget حيث تقوم سمة `use-when` بتشغيل كود Groovy غير معزول (unsandboxed).

Incorrect authorization in RequestHandler in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to bypass the authentication requirement of a protected view by appending it as a path suffix to a public request (e.g., /catalog/control/ListLocales/showPortalPage), causing the servlet to authorize the request based on the public path component while rendering the protected suffix view. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Missing authorization enforcement in RequestHandler.renderView in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to bypass the request-map authentication policy for protected views by supplying a crafted LAST VIEW NAME value, which is stored as saved-view state in the anonymous session and later rendered without re-applying the original view's authentication requirement, potentially exposing protected views and associated business data. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Missing authorization check in the getHRChild service in Apache OFBiz through 24.09.07 on all platforms allows a remote unauthenticated attacker to recursively enumerate Human Resources organization and employee data, including department names and identifiers, employment position names and identifiers, employee party identifiers, position occupancy, and organization relationships, via a crafted partyId parameter. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Missing Authorization in ProductEvents in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only catalog view permission to create, modify, or remove arbitrary product, product feature association, and product category association data by directly invoking catalog quick-admin events such as updateProductQuickAdminShipping, causing the servlet to authorize the request against the base view-level permission declared on the request-map while the underlying event methods perform entity-engine writes without checking the catalog update/create permission enforced by equivalent sibling event methods in the same class. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Incorrect Authorization in ContentPermissionServices in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only a limited content-create permission to self-grant the OWNER role on arbitrary content by invoking the createContentRole service (e.g. via the createForumGroupRole request), causing the permission check to fall through to a fail-open default-grant branch when no ContentPurposeOperation entry matches the requested operation and content purpose, rather than denying the request. A self-granted OWNER role then satisfies the ownership check used to authorize update, removal, and status changes on that content, giving the attacker full read/write/delete control over content they should not have access to. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Missing Authorization in ProductSearchEvents in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only catalog view permission to bulk-modify product category and feature associations across arbitrary search results by seeding a broad product search and then invoking search-result mutation events such as searchRemoveFromCategory, searchExpireFromCategory, searchAddToCategory, searchAddFeature, and searchRemoveFeature, causing the servlet to authorize the request against only the base view-level permission declared on the request-map while the underlying event methods perform bulk entity-engine deletes/inserts without checking the DELETE/CREATE permission enforced by the equivalent service-layer operations (e.g. removeProductFromCategory). Users are recommended to upgrade to version 24.09.08, which fixes this issue.

توجد مشكلة في خدمة `performFind` العامة لمحرك الكيانات في عمليات النشر التي تستخدم MySQL أو MariaDB. يمكن لمهاجم عن بُعد غير مصرح له الكشف عن صفوف عشوائية من كيان مستعلم عنه من خلال إرسال طلب بحث يتجاهل حالة الأحرف (على سبيل المثال ` ic=Y`) بقيمة مصممة خصيصاً. يحدث هذا لأن الدالة `SqlJdbcUtil.addValueSingle()` تدرج القيمة المغلفة بـ `EntityFunction` مباشرة في نص SQL باستخدام مضاعفة علامة الاقتباس المفردة وفقاً لمعيار ANSI فقط بدلاً من ربطها كمعلمة. وبما أن MySQL و MariaDB يدعمان رموز الهروب باستخدام الشرطة المائلة العكسية، فإن الحمولة التي تنتهي بشرطة مائلة عكسية يمكن أن تكسر سلسلة النصوص وتحول جملة WHERE إلى تحصيل حاصل (tautology)، وهي عبارة تكون صحيحة دائماً.

XML External Entity (XXE) Injection in ContentWorker in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding content-author permission to read arbitrary server files and trigger server-side request forgery by storing a crafted text/xml DataResource containing an external entity declaration, causing ContentWorker's rendering of that content — via renderContentAsText and related CMS/help render paths — to parse the stored XML using FreeMarker's default NodeModel.parse DocumentBuilderFactory, which enables neither FEATURE SECURE PROCESSING nor external-entity/DTD restrictions, resolving the external entity and returning its content in the rendered response. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Server-Side Request Forgery in SurveyWrapper in Apache OFBiz 24.09 before 24.09.08 on all platforms allows an authenticated back-office user holding catalog permission to cause the server to fetch and render attacker-controlled URLs — including internal network and cloud-metadata endpoints and local files via file:// — by setting an arbitrary URL as a product-store survey's template location, causing SurveyWrapper.getTemplate to call URL.openStream() on the resolved location and compile the fetched content as a FreeMarker template with no scheme or host validation, unlike the sibling widget location-loaders (ScreenFactory, FormFactory, GridFactory, MenuFactory, TreeFactory, ThemeFactory) which validate the resolved location before loading it. The fetched content is rendered into the HTTP response of any shopper who subsequently loads the affected product-store survey, making the disclosure non-blind. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Improper Authorization in ContentWorker in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to trigger arbitrary OFBiz service invocation with attacker-controlled parameters, resulting in arbitrary file write, arbitrary file deletion, and server-side request forgery, by requesting the public showHelpPublic view against a Content row whose serviceName field an account holding only CONTENTMGR CREATE or CONTENTMGR UPDATE has set to an attacker-chosen service, causing ContentWorker.renderContentAsText to resolve the service to invoke from that persisted, client-writable field and build its parameters directly from the live HTTP request map with no allow-list, no ownership check, and no requirement that the caller be authenticated. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

توجد مشكلة في مكون ViewDataFile حيث يمكن لمهاجم عن بُعد مصرح له يمتلك صلاحيات أدوات الويب الأساسية (OFBTOOLS VIEW, WEBTOOLS VIEW) إجبار الخادم على إصدار طلبات HTTP خارجية عشوائية. ويمكن للمهاجمين الذين يمتلكون أيضاً صلاحيات ENTITY MAINT و DATAFILE MAINT قراءة ملفات محلية عشوائية عبر URL من نوع file:. يحدث هذا لأن ملف `ViewDataFile.groovy` يقوم بمعالجة معاملات الطلب `DEFINITION LOCATION` و `DATAFILE LOCATION` ككائنات java.net.URL دون وجود قائمة سماح للمخططات، أو تصفية للمضيف، أو تحكم في حركة المرور الخارجة. يتم التنفيذ ضمن إجراء شاشة يعمل قبل تقييم فحوصات الأذونات الخاصة بالشاشة والقالب، مما يسمح بتنفيذ عملية الجلب بغض النظر عما إذا كان الحساب الطالب مصرحاً له بعرض النتيجة.

يؤدي استهلاك الموارد غير المنضبط في `ServiceMultiEventHandler` إلى السماح لمهاجم عن بُعد غير مصرح له بتثبيت خيط طلب الخادم لعدد محدد من عمليات إرسال الخدمة المتزامنة، وصولاً إلى الحد الأقصى للعدد الصحيح الموقع. يحدث هذا عند إرسال طلب HTTP صغير تشفر أسماء معلماته عدد الصفوف عبر اللاحقة `o` المستخدمة في عمليات إرسال النماذج المتعددة، لأن الدالة `UtilHttp.getMultiFormRowCount` تستمد هذا العدد من أكبر لاحقة دون وجود حد أقصى، ثم يقوم `ServiceMultiEventHandler.invoke()` بتكرار الحلقة بهذا العدد من المرات لاستدعاء `dispatcher.runSync()`. في التثبيت القياسي، يصل خريطة الطلب لـ `getFinAccountTransRunningTotalAndBalances` إلى هذا المعالج دون الحاجة إلى مصادقة أو حماية من تزوير الطلبات عبر المواقع (CSRF).

يوجد تجاوز للمصادقة في `ExternalLoginKeysManager` بسبب خلل في الالتقاط وإعادة التشغيل (capture-replay). يمكن لمهاجم عن بُعد غير مصرح له، والذي يلتقط قيمة `externalLoginKey` نشطة، الحصول على جلسة كاملة وقابلة لإعادة الاستخدام بصفتها المستخدم الذي أصدرها في جميع تطبيقات الويب التي يمكن لهذا المستخدم الوصول إليها. يحدث هذا لأن الدالة `checkExternalLoginKey()` تعمل كمعالج مسبق عام يتم تنفيذه قبل فحوصات CSRF والمصادقة. يقبل النظام المفتاح كاعتماد حامل (bearer credential) غير مرتبط بعميل، ولا تنتهي صلاحيته، ولا يتم إبطاله بعد الاستخدام. بالإضافة إلى ذلك، يقوم الإطار بإضافة المفاتيح النشطة إلى كل رابط بين تطبيقات الويب، ويسمح عبر هدف رابط التطبيقات البينية غير المصدق في `WidgetWorker` بإرسال مفتاح مستخدم مصرح له إلى عنوان URL مطلق يختاره المهاجم ويتم تسليمه مباشرة إلى خادم المهاجم.

يحدث حقن للقوالب من جانب الخادم (SSTI) في MacroScreenRenderer. يمكن لمهاجم عن بُعد مصرح له يمتلك أذونات عرض محددة تنفيذ أوامر نظام تشغيل تعسفية باستخدام حساب خدمة OFBiz من خلال طلب GET واحد. يحدث هذا لأن دالة `renderLink` تقوم بدمج قيم معاملات الرابط حرفياً بين علامات اقتباس مفردة في سلسلة مصدر قالب غير مقتبسة وغير مفلترة. عندما يتم تجميع هذه السلسلة وتقييمها، يصل التعبير المحقون إلى دالة `FlexibleStringExpander.expandString()`، مما يؤدي إلى تنفيذ كود غير مقيد عبر استكمال Groovy الذي يتم تجميعه في وقت التشغيل.

يوجد ثغرة حقن لغة التعبير (Expression Language Injection) في EmailServices. يمكن لمهاجم عن بُعد مصرح له يمتلك صلاحيات `OFBTOOLS VIEW` و `ACCOUNTING VIEW` تنفيذ أوامر نظام تشغيل تعسفية باستخدام الحساب الذي يقوم بتشغيل البرنامج. يحدث هذا عند إرسال تعبير `${groovy:...}` كقيمة لـ `bodyText` أو `subject` في نموذج فاتورة Send Per Email. تقوم الدالة `sendMailFromScreen` بتمرير هذه القيم عبر `FlexibleStringExpander.expandString` التي تقوم بتقييم Groovy المدمج دون قيود `SecureASTCustomizer` التي يطبقها `GroovyUtil.eval` عادةً.

يسمح خلل في التصريح في إجراء شاشة XmlDsDump لمهاجم عن بُعد مصرح له يمتلك صلاحيات أدوات الويب الأساسية (`OFBTOOLS VIEW`, `WEBTOOLS VIEW`) بتصدير محتويات أي كيان في قاعدة البيانات، مثل `UserLogin` الذي يحتوي على هاشات `currentPassword`. يحدث هذا لأن الإجراء يستخدم `FileOutputStream` لكتابة البيانات بناءً على معاملات الطلب `outpath` و `filename` غير المتحقق منها قبل تنفيذ فحص صلاحية `ENTITY MAINT` المطلوب. يمكن أن يؤدي ذلك إلى إنشاء أدلة عشوائية، أو قطع ملفات موجودة، أو كتابة بيانات حساسة في أدلة يتم تقديمها عبر الويب.

يسمح حقن الكود في ModelFormField الخاص بإضافة cms لمهاجم عن بعد مصرح له يمتلك صلاحيات محرر محتوى CMS بتنفيذ أوامر نظام تشغيل عشوائية بصلاحيات مستخدم عملية OFBiz. يحدث هذا عبر طلب HTTP POST واحد إلى نقطة النهاية 'EditAddContent' من خلال إرسال معامل `caContentIdTo` مصاغ بدقة. تقوم شاشة CMS بنسخ هذا المعامل إلى متغير سياق من المستوى الأعلى يتم إقحامه في سمة use-when لحقل نموذج، ويتم تمرير السلسلة الناتجة دون تحقق إلى دالة `GroovyUtil.eval()`. لا يقيد صندوق الرمل SecureASTCustomizer في وقت التجميع الانعكاس في وقت التشغيل، مما يسمح لحمولة بإغلاق حرف السلسلة الموسع واستدعاء java.lang.Runtime عبر الانعكاس.

يؤدي فقدان التصريح في تطبيقات الموارد البشرية (Human Resources) والكتالوج (Catalog) ومدير الطلبات (Order Manager) إلى السماح لمهاجم عن بُعد غير مصرح له بالكشف عن سجلات الأعمال الداخلية، بما في ذلك بيانات المؤسسة والموظفين وكتالوج المنتجات وبيانات متجر المنتجات. يحدث هذا بسبب تكوين العديد من نقاط النهاية المساعدة لتخطي المصادقة وعدم إجراء فحص للأذونات قبل إرجاع السجل المطلوب.