CVE-2026-82916

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição Uma falha de autorização na ação de tela XmlDsDump permite que um invasor remoto autenticado com permissões básicas de webtools (OFBTOOLS VIEW, WEBTOOLS VIEW) exporte o conteúdo de qualquer entidade de banco de dados, como UserLogin contendo hashes de currentPassword. Isso ocorre porque a ação utiliza FileOutputStream para gravar dados com base nos parâmetros de requisição outpath e filename não validados antes que a verificação de permissão ENTITY MAINT seja executada. Isso pode resultar na criação de diretórios arbitrários, no truncamento de arquivos existentes ou na gravação de dados sensíveis em diretórios servidos via web.

Recomendações Atualizar para a versão 24.09.08.