CVE-2026-82907

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição Existe uma falha de bypass de autenticação no ExternalLoginKeysManager devido a um problema de captura e reprodução (capture-replay). Um invasor remoto não autenticado que capture um valor externalLoginKey ativo pode obter uma sessão completa e reutilizável como o usuário que a emitiu em todos os webapps acessíveis. Isso acontece porque a função checkExternalLoginKey() opera como um pré-processador global que é executado antes das verificações de CSRF e autenticação. O sistema aceita a chave como uma credencial de portador (bearer credential) que não é vinculada a um cliente, não expira e não é invalidada após o uso. Além disso, o framework anexa chaves ativas a links entre webapps e permite que a chave de um usuário autenticado seja enviada para uma URL absoluta controlada por um invasor através do alvo de link inter-app não validado do WidgetWorker.

Recomendações Atualizar para a versão 24.09.08.