CVE-2026-82902

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição Existe um problema no componente ViewDataFile onde um invasor remoto autenticado com permissões básicas de webtools (OFBTOOLS VIEW, WEBTOOLS VIEW) pode forçar o servidor a emitir requisições HTTP externas arbitrárias. Invasores que também possuam permissões ENTITY MAINT e DATAFILE MAINT podem ler arquivos locais arbitrários usando uma URL de arquivo (file:). Isso ocorre porque o arquivo ViewDataFile.groovy desreferencia os parâmetros de requisição DEFINITION LOCATION e DATAFILE LOCATION como objetos java.net.URL sem uma lista de permissões de esquema, filtro de host ou controle de egresso. A execução ocorre dentro de uma ação de tela que roda antes que as verificações de permissão da tela e do template sejam avaliadas, permitindo que a busca seja executada independentemente da autorização do usuário para visualizar o resultado.

Recomendações Atualizar para a versão 24.09.08.