PT-2026-137505
CVE-2026-82907
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Apache OFBiz الإصدارات من 24.09 إلى 24.09.07
الوصف
يوجد تجاوز للمصادقة في
ExternalLoginKeysManager بسبب خلل في الالتقاط وإعادة التشغيل (capture-replay). يمكن لمهاجم عن بُعد غير مصرح له، والذي يلتقط قيمة externalLoginKey نشطة، الحصول على جلسة كاملة وقابلة لإعادة الاستخدام بصفتها المستخدم الذي أصدرها في جميع تطبيقات الويب التي يمكن لهذا المستخدم الوصول إليها. يحدث هذا لأن الدالة checkExternalLoginKey() تعمل كمعالج مسبق عام يتم تنفيذه قبل فحوصات CSRF والمصادقة. يقبل النظام المفتاح كاعتماد حامل (bearer credential) غير مرتبط بعميل، ولا تنتهي صلاحيته، ولا يتم إبطاله بعد الاستخدام. بالإضافة إلى ذلك، يقوم الإطار بإضافة المفاتيح النشطة إلى كل رابط بين تطبيقات الويب، ويسمح عبر هدف رابط التطبيقات البينية غير المصدق في WidgetWorker بإرسال مفتاح مستخدم مصرح له إلى عنوان URL مطلق يختاره المهاجم ويتم تسليمه مباشرة إلى خادم المهاجم.التوصيات
التحديث إلى الإصدار 24.09.08.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾