CVE-2026-84183

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição Uma autorização incorreta no simple-method updateLayout em applications/content/minilang/layout/LayoutEvents.xml permite que um atacante remoto autenticado com permissões OFBTOOLS VIEW e CONTENTMGR VIEW execute comandos arbitrários como o usuário do processo OFBiz. O problema ocorre porque a verificação de autorização valida apenas a operação CONTENT CREATE em vez de verificar a permissão de atualização no registro de Conteúdo específico e no DataResource selecionado. Um atacante pode relincar um registro de Conteúdo com propósito RESPONSE e converter um DataResource em um recurso OFBIZ FILE/FTL. Ao envenenar o log de acesso do OFBiz através de um cabeçalho User-Agent manipulado e acessá-lo via rota showContent, o atacante pode executar código remotamente.

Recomendações Atualizar para a versão 24.09.08.