Krishna Uprit

Um problema de autorização ocorre quando a multitenancy está habilitada, permitindo que um invasor remoto autenticado com uma conta de baixo privilégio em um tenant leia e grave dados de outro tenant. O invasor pode conseguir isso fornecendo seu próprio parâmetro `userTenantId` e credenciais durante o processo de login do Party Manager ao mirar em um hostname mapeado para um tenant diferente. Isso acontece porque a função() `LoginWorker` prioriza o parâmetro de requisição `userTenantId` em vez do tenant resolvido pelo `ContextFilter` via `TenantDomainName`. Consequentemente, requisições subsequentes usam a identidade de sessão e o objeto de segurança do invasor para verificações de permissão, mas executam operações de leitura ou gravação nos dados do tenant associado ao hostname.

Existe um problema onde a neutralização inadequada de elementos especiais em um mecanismo de template leva à Injeção de Template no Lado do Servidor (SSTI). Um invasor remoto autenticado com uma conta não administrativa pode executar comandos arbitrários do sistema operacional como o usuário do processo OFBiz. Isso é alcançado usando o evento `updateLayoutImage` para gravar campos `DataResource` sem verificação de permissão, redefinindo um `DataResource` como um template FreeMarker Template Language (FTL) que avalia sua própria chave primária. Esse processo permite que o invasor implante um OFBiz Form Widget onde o atributo `use-when` executa código Groovy sem sandbox.

Incorrect authorization in RequestHandler in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to bypass the authentication requirement of a protected view by appending it as a path suffix to a public request (e.g., /catalog/control/ListLocales/showPortalPage), causing the servlet to authorize the request based on the public path component while rendering the protected suffix view. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Missing authorization enforcement in RequestHandler.renderView in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to bypass the request-map authentication policy for protected views by supplying a crafted LAST VIEW NAME value, which is stored as saved-view state in the anonymous session and later rendered without re-applying the original view's authentication requirement, potentially exposing protected views and associated business data. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Missing authorization check in the getHRChild service in Apache OFBiz through 24.09.07 on all platforms allows a remote unauthenticated attacker to recursively enumerate Human Resources organization and employee data, including department names and identifiers, employment position names and identifiers, employee party identifiers, position occupancy, and organization relationships, via a crafted partyId parameter. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Missing Authorization in ProductEvents in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only catalog view permission to create, modify, or remove arbitrary product, product feature association, and product category association data by directly invoking catalog quick-admin events such as updateProductQuickAdminShipping, causing the servlet to authorize the request against the base view-level permission declared on the request-map while the underlying event methods perform entity-engine writes without checking the catalog update/create permission enforced by equivalent sibling event methods in the same class. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Incorrect Authorization in ContentPermissionServices in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only a limited content-create permission to self-grant the OWNER role on arbitrary content by invoking the createContentRole service (e.g. via the createForumGroupRole request), causing the permission check to fall through to a fail-open default-grant branch when no ContentPurposeOperation entry matches the requested operation and content purpose, rather than denying the request. A self-granted OWNER role then satisfies the ownership check used to authorize update, removal, and status changes on that content, giving the attacker full read/write/delete control over content they should not have access to. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Missing Authorization in ProductSearchEvents in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only catalog view permission to bulk-modify product category and feature associations across arbitrary search results by seeding a broad product search and then invoking search-result mutation events such as searchRemoveFromCategory, searchExpireFromCategory, searchAddToCategory, searchAddFeature, and searchRemoveFeature, causing the servlet to authorize the request against only the base view-level permission declared on the request-map while the underlying event methods perform bulk entity-engine deletes/inserts without checking the DELETE/CREATE permission enforced by the equivalent service-layer operations (e.g. removeProductFromCategory). Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Existe um problema no serviço genérico `performFind` do mecanismo de entidade em implantações que utilizam MySQL ou MariaDB. Um invasor remoto não autenticado pode expor linhas arbitrárias de uma entidade consultada ao enviar uma solicitação de busca ignorando maiúsculas/minúsculas (ex: ` ic=Y`) manipulada. Isso ocorre porque a função `SqlJdbcUtil.addValueSingle()` insere o valor envolvido por `EntityFunction` diretamente no texto SQL usando a duplicação de aspas simples apenas ANSI, em vez de vinculá-lo como um parâmetro. Como o MySQL e o MariaDB aceitam escapes de barra invertida, um payload terminado em barra invertida pode romper a literal de string e transformar a cláusula WHERE em uma tautologia, que é uma afirmação sempre verdadeira.

XML External Entity (XXE) Injection in ContentWorker in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding content-author permission to read arbitrary server files and trigger server-side request forgery by storing a crafted text/xml DataResource containing an external entity declaration, causing ContentWorker's rendering of that content — via renderContentAsText and related CMS/help render paths — to parse the stored XML using FreeMarker's default NodeModel.parse DocumentBuilderFactory, which enables neither FEATURE SECURE PROCESSING nor external-entity/DTD restrictions, resolving the external entity and returning its content in the rendered response. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Server-Side Request Forgery in SurveyWrapper in Apache OFBiz 24.09 before 24.09.08 on all platforms allows an authenticated back-office user holding catalog permission to cause the server to fetch and render attacker-controlled URLs — including internal network and cloud-metadata endpoints and local files via file:// — by setting an arbitrary URL as a product-store survey's template location, causing SurveyWrapper.getTemplate to call URL.openStream() on the resolved location and compile the fetched content as a FreeMarker template with no scheme or host validation, unlike the sibling widget location-loaders (ScreenFactory, FormFactory, GridFactory, MenuFactory, TreeFactory, ThemeFactory) which validate the resolved location before loading it. The fetched content is rendered into the HTTP response of any shopper who subsequently loads the affected product-store survey, making the disclosure non-blind. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Improper Authorization in ContentWorker in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to trigger arbitrary OFBiz service invocation with attacker-controlled parameters, resulting in arbitrary file write, arbitrary file deletion, and server-side request forgery, by requesting the public showHelpPublic view against a Content row whose serviceName field an account holding only CONTENTMGR CREATE or CONTENTMGR UPDATE has set to an attacker-chosen service, causing ContentWorker.renderContentAsText to resolve the service to invoke from that persisted, client-writable field and build its parameters directly from the live HTTP request map with no allow-list, no ownership check, and no requirement that the caller be authenticated. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Existe um problema no componente ViewDataFile onde um invasor remoto autenticado com permissões básicas de webtools (OFBTOOLS VIEW, WEBTOOLS VIEW) pode forçar o servidor a emitir requisições HTTP externas arbitrárias. Invasores que também possuam permissões ENTITY MAINT e DATAFILE MAINT podem ler arquivos locais arbitrários usando uma URL de arquivo (file:). Isso ocorre porque o arquivo `ViewDataFile.groovy` desreferencia os parâmetros de requisição `DEFINITION LOCATION` e `DATAFILE LOCATION` como objetos java.net.URL sem uma lista de permissões de esquema, filtro de host ou controle de egresso. A execução ocorre dentro de uma ação de tela que roda antes que as verificações de permissão da tela e do template sejam avaliadas, permitindo que a busca seja executada independentemente da autorização do usuário para visualizar o resultado.

O consumo descontrolado de recursos no `ServiceMultiEventHandler` permite que um invasor remoto não autenticado prenda uma thread de requisição do servidor por um número escolhido de despachos de serviço síncronos, até o máximo de um inteiro assinado. Isso ocorre ao enviar uma pequena requisição HTTP cujos nomes de parâmetros codificam uma contagem de linhas através do sufixo `o` usado por envios de formulários múltiplos, pois a função `UtilHttp.getMultiFormRowCount` deriva essa contagem do maior sufixo sem um limite superior e o `ServiceMultiEventHandler.invoke()` então repete o loop esse número de vezes chamando `dispatcher.runSync()`. Em uma implantação padrão, o mapa de requisição para `getFinAccountTransRunningTotalAndBalances` atinge este manipulador sem a necessidade de autenticação ou proteção CSRF.

Existe uma falha de bypass de autenticação no `ExternalLoginKeysManager` devido a um problema de captura e reprodução (capture-replay). Um invasor remoto não autenticado que capture um valor `externalLoginKey` ativo pode obter uma sessão completa e reutilizável como o usuário que a emitiu em todos os webapps acessíveis. Isso acontece porque a função `checkExternalLoginKey()` opera como um pré-processador global que é executado antes das verificações de CSRF e autenticação. O sistema aceita a chave como uma credencial de portador (bearer credential) que não é vinculada a um cliente, não expira e não é invalidada após o uso. Além disso, o framework anexa chaves ativas a links entre webapps e permite que a chave de um usuário autenticado seja enviada para uma URL absoluta controlada por um invasor através do alvo de link inter-app não validado do `WidgetWorker`.

Ocorre uma Injeção de Template no Lado do Servidor (SSTI) no MacroScreenRenderer. Um invasor remoto autenticado com permissões de visualização específicas pode executar comandos arbitrários do sistema operacional como a conta de serviço do OFBiz por meio de uma única requisição GET. Isso é possível porque a função `renderLink` concatena valores de parâmetros de link literalmente entre apóstrofos em uma string de origem de template não citada e não escapada. Quando essa string é compilada e avaliada, a expressão injetada atinge a função `FlexibleStringExpander.expandString()`, levando à execução de código sem sandbox através de interpolação Groovy montada em tempo de execução.

Uma Injeção de Linguagem de Expressão existe no EmailServices. Um invasor remoto autenticado com as permissões `OFBTOOLS VIEW` e `ACCOUNTING VIEW` pode executar comandos arbitrários do sistema operacional como a conta que executa o software. Isso ocorre quando uma expressão `${groovy:...}` é enviada como o valor de `bodyText` ou `subject` no formulário de fatura Send Per Email. A função `sendMailFromScreen` passa esses valores através do `FlexibleStringExpander.expandString`, que avalia Groovy incorporado sem as restrições do `SecureASTCustomizer` normalmente aplicadas pelo `GroovyUtil.eval`.

Uma falha de autorização na ação de tela XmlDsDump permite que um invasor remoto autenticado com permissões básicas de webtools (`OFBTOOLS VIEW`, `WEBTOOLS VIEW`) exporte o conteúdo de qualquer entidade de banco de dados, como `UserLogin` contendo hashes de `currentPassword`. Isso ocorre porque a ação utiliza `FileOutputStream` para gravar dados com base nos parâmetros de requisição `outpath` e `filename` não validados antes que a verificação de permissão `ENTITY MAINT` seja executada. Isso pode resultar na criação de diretórios arbitrários, no truncamento de arquivos existentes ou na gravação de dados sensíveis em diretórios servidos via web.

Injeção de código no ModelFormField do plugin cms permite que um atacante remoto autenticado com acesso de editor de conteúdo do CMS execute comandos arbitrários do sistema operacional como o usuário do processo OFBiz. Isso ocorre por meio de uma única requisição HTTP POST para o endpoint 'EditAddContent' ao enviar um parâmetro `caContentIdTo` manipulado. A tela do CMS copia esse parâmetro para uma variável de contexto de nível superior que é interpolada no atributo use-when de um campo de formulário, e a string resultante é passada sem validação para a função `GroovyUtil.eval()`. O sandbox SecureASTCustomizer em tempo de compilação não restringe a reflexão em tempo de execução, permitindo que um payload feche a literal de string expandida e invoque java.lang.Runtime via reflexão.

A falta de autorização nos aplicativos Human Resources, Catalog e Order Manager permite que um invasor remoto não autenticado divulgue registros comerciais internos, como dados de organização, funcionários, catálogo de produtos e loja de produtos. Isso ocorre porque vários endpoints auxiliares estão configurados para ignorar a autenticação e não realizar verificações de permissão antes de retornar os registros solicitados.