PT-2026-137476
CVE-2026-84728
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache OFBiz الإصدارات من 24.09 إلى 24.09.07
الوصف
تحدث مشكلة في التصريح عندما تكون خاصية تعدد المستأجرين (multitenancy) مفعلة، مما يسمح لمهاجم عن بُعد مصرح له يمتلك حسابًا بصلاحيات منخفضة في أحد المستأجرين بقراءة وكتابة بيانات تابعة لمستأجر آخر. يمكن للمهاجم تحقيق ذلك من خلال تقديم معامل
userTenantId الخاص به وبيانات الاعتماد الخاصة به أثناء عملية تسجيل الدخول إلى Party Manager مقابل اسم مضيف (hostname) مرتبط بمستأجر مختلف. يحدث هذا لأن الدالة() LoginWorker تعطي الأولوية لمعامل الطلب userTenantId على المستأجر الذي يتم تحديده بواسطة ContextFilter عبر TenantDomainName. ونتيجة لذلك، تستخدم الطلبات اللاحقة هوية جلسة المهاجم وكائن الأمان الخاص به للتحقق من الأذونات، بينما يتم تنفيذ عمليات القراءة أو الكتابة على بيانات المستأجر المرتبط باسم المضيف.التوصيات
التحديث إلى الإصدار 24.09.08.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾