PT-2026-137508
CVE-2026-82916
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Apache OFBiz الإصدارات من 24.09 إلى 24.09.07
الوصف
يسمح خلل في التصريح في إجراء شاشة XmlDsDump لمهاجم عن بُعد مصرح له يمتلك صلاحيات أدوات الويب الأساسية (
OFBTOOLS VIEW, WEBTOOLS VIEW) بتصدير محتويات أي كيان في قاعدة البيانات، مثل UserLogin الذي يحتوي على هاشات currentPassword. يحدث هذا لأن الإجراء يستخدم FileOutputStream لكتابة البيانات بناءً على معاملات الطلب outpath و filename غير المتحقق منها قبل تنفيذ فحص صلاحية ENTITY MAINT المطلوب. يمكن أن يؤدي ذلك إلى إنشاء أدلة عشوائية، أو قطع ملفات موجودة، أو كتابة بيانات حساسة في أدلة يتم تقديمها عبر الويب.التوصيات
التحديث إلى الإصدار 24.09.08.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾