PT-2026-137478

CVE-2026-92887

Publicado

2026-11-05

Atualizado

2026-11-05

Descrição por

CVSS 3.1

7.3

Alta

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões anteriores a 24.09.08

Description Existe um problema no analisador de definição .rest.xml ModelApiReader do framework REST API, onde um valor padrão incorreto é atribuído. Quando um recurso ou definição de operação .rest.xml omite o atributo auth, o ModelApiReader o resolve incorretamente como false, em vez do padrão true declarado no rest-api.xsd. Isso permite que um invasor remoto não autenticado invoque uma operação de API REST sem fornecer credenciais válidas.

Recommendations Atualize para a versão 24.09.08.

Explorabilidade

Correção

Impactos

Pesquisadores

Wanxin Yin

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-306: Missing Authentication for Critical Function

CWE-1188: Initialization of a Resource with an Insecure Default

Identificadores relacionados