CVE-2026-81815

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões anteriores a 24.09.08

Descrição Existe um problema no serviço genérico performFind do mecanismo de entidade em implantações que utilizam MySQL ou MariaDB. Um invasor remoto não autenticado pode expor linhas arbitrárias de uma entidade consultada ao enviar uma solicitação de busca ignorando maiúsculas/minúsculas (ex: ic=Y) manipulada. Isso ocorre porque a função SqlJdbcUtil.addValueSingle() insere o valor envolvido por EntityFunction diretamente no texto SQL usando a duplicação de aspas simples apenas ANSI, em vez de vinculá-lo como um parâmetro. Como o MySQL e o MariaDB aceitam escapes de barra invertida, um payload terminado em barra invertida pode romper a literal de string e transformar a cláusula WHERE em uma tautologia, que é uma afirmação sempre verdadeira.

Recomendações Atualizar para a versão 24.09.08.