PT-2026-137503
CVE-2026-82902
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache OFBiz الإصدارات من 24.09 إلى 24.09.07
الوصف
توجد مشكلة في مكون ViewDataFile حيث يمكن لمهاجم عن بُعد مصرح له يمتلك صلاحيات أدوات الويب الأساسية (OFBTOOLS VIEW, WEBTOOLS VIEW) إجبار الخادم على إصدار طلبات HTTP خارجية عشوائية. ويمكن للمهاجمين الذين يمتلكون أيضاً صلاحيات ENTITY MAINT و DATAFILE MAINT قراءة ملفات محلية عشوائية عبر URL من نوع file:. يحدث هذا لأن ملف
ViewDataFile.groovy يقوم بمعالجة معاملات الطلب DEFINITION LOCATION و DATAFILE LOCATION ككائنات java.net.URL دون وجود قائمة سماح للمخططات، أو تصفية للمضيف، أو تحكم في حركة المرور الخارجة. يتم التنفيذ ضمن إجراء شاشة يعمل قبل تقييم فحوصات الأذونات الخاصة بالشاشة والقالب، مما يسمح بتنفيذ عملية الجلب بغض النظر عما إذا كان الحساب الطالب مصرحاً له بعرض النتيجة.التوصيات
التحديث إلى الإصدار 24.09.08.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾