PT-2026-137510

CVE-2026-83538

Publicado

2026-11-05

Atualizado

2026-11-05

Descrição por

CVSS 3.1

5.3

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 through 24.09.07

Description A falta de autorização nos aplicativos Human Resources, Catalog e Order Manager permite que um invasor remoto não autenticado divulgue registros comerciais internos, como dados de organização, funcionários, catálogo de produtos e loja de produtos. Isso ocorre porque vários endpoints auxiliares estão configurados para ignorar a autenticação e não realizar verificações de permissão antes de retornar os registros solicitados.

Recommendations Atualize para a versão 24.09.08.

Explorabilidade

Correção

Impactos

Pesquisadores

Jonah Burgess

Krishna Uprit

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor