CVE-2026-84728

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição Um problema de autorização ocorre quando a multitenancy está habilitada, permitindo que um invasor remoto autenticado com uma conta de baixo privilégio em um tenant leia e grave dados de outro tenant. O invasor pode conseguir isso fornecendo seu próprio parâmetro userTenantId e credenciais durante o processo de login do Party Manager ao mirar em um hostname mapeado para um tenant diferente. Isso acontece porque a função() LoginWorker prioriza o parâmetro de requisição userTenantId em vez do tenant resolvido pelo ContextFilter via TenantDomainName. Consequentemente, requisições subsequentes usam a identidade de sessão e o objeto de segurança do invasor para verificações de permissão, mas executam operações de leitura ou gravação nos dados do tenant associado ao hostname.

Recomendações Atualizar para a versão 24.09.08.