CVE-2026-82904

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição O consumo descontrolado de recursos no ServiceMultiEventHandler permite que um invasor remoto não autenticado prenda uma thread de requisição do servidor por um número escolhido de despachos de serviço síncronos, até o máximo de um inteiro assinado. Isso ocorre ao enviar uma pequena requisição HTTP cujos nomes de parâmetros codificam uma contagem de linhas através do sufixo o usado por envios de formulários múltiplos, pois a função UtilHttp.getMultiFormRowCount deriva essa contagem do maior sufixo sem um limite superior e o ServiceMultiEventHandler.invoke() então repete o loop esse número de vezes chamando dispatcher.runSync(). Em uma implantação padrão, o mapa de requisição para getFinAccountTransRunningTotalAndBalances atinge este manipulador sem a necessidade de autenticação ou proteção CSRF.

Recomendações Atualizar para a versão 24.09.08.