Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-83542 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-05 |
| Producent | Apache |
| Produkt | OFBiz |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Apache OFBiz
Apache OFBiz to open source’owy system ERP i e-commerce. Wydanie 24.09.08 naprawia m.in. dwie krytyczne podatności dotyczące wszystkich platform:
- CVE-2026-83542 (CVSS 9.8) — wstrzyknięcie kodu (Code Injection) w Apache OFBiz 24.09 przed 24.09.08. Zdalny, nieuwierzytelniony atakujący umieszcza spreparowany widget XML w przesyłanym żądaniu multipart i przez anonimowe żądanie JSON nadpisuje parametr mainDecoratorLocation używany przez ścieżkę logowania aplikacji manager. OFBiz wczytuje wtedy przygotowany XML przez mechanizm deskryptorów ekranów i podczas renderowania strony błędu uwierzytelnienia wykonuje wyrażenie Groovy bez piaskownicy — czyli dowolny kod na serwerze. Według dalszej analizy atak nie wymaga uszkodzonego żądania multipart (wystarczy poprawne, przytrzymane w trakcie przesyłania), XML jest czytany z deskryptora pliku procesu w trakcie przesyłania, a ten sam błąd jest osiągalny także przez publiczną, nieuwierzytelnioną ścieżkę /sfa/control/editPortalPageColumnWidth, która zwraca wynik poleceń bezpośrednio w odpowiedzi HTTP 200.
- CVE-2026-82907 (CVSS 9.8) — obejście uwierzytelnienia przez przechwycenie i odtworzenie (capture-replay) w ExternalLoginKeysManager w Apache OFBiz 24.09 przed 24.09.08. Atakujący, który przechwyci aktywną wartość externalLoginKey, uzyskuje pełną, wielokrotnego użytku sesję (bez ciasteczek) jako użytkownik, który ją wystawił — we wszystkich aplikacjach OFBiz dostępnych dla tego użytkownika. checkExternalLoginKey działa jako globalny preprocesor przed kontrolą CSRF i uwierzytelnienia i akceptuje klucz jak token okaziciela, który nie jest powiązany z klientem, nie wygasa i nie jest unieważniany po użyciu. Framework dołącza aktywne klucze do każdego renderowanego linku między aplikacjami, a niewalidowany cel linku w WidgetWorker pozwala dołączyć klucz uwierzytelnionego użytkownika do wskazanego przez atakującego adresu URL i wysłać go wprost na serwer atakującego.
Wymagane działania
Zaktualizuj Apache OFBiz do wersji 24.09.08 — zgodnie z zaleceniem Apache naprawia ona obie podatności (oraz szereg innych opisanych na stronie bezpieczeństwa projektu). Do czasu aktualizacji ogranicz dostęp do instancji OFBiz z internetu (VPN, lista dozwolonych adresów, WAF), zwłaszcza do ścieżek aplikacji manager i /sfa/control/. Po aktualizacji unieważnij aktywne sesje użytkowników, przejrzyj logi serwera pod kątem nietypowych żądań multipart i anonimowych żądań JSON oraz sprawdź serwer pod kątem śladów wykonania obcego kodu.
Kogo dotyczy?
Podatności dotyczą organizacji używających Apache OFBiz (projekt Apache Software Foundation) w gałęzi 24.09 w wersjach wcześniejszych niż 24.09.08, na wszystkich platformach — jako systemu ERP, CRM lub platformy e-commerce. Najwyższe ryzyko dotyczy instancji wystawionych do internetu (sklepy, portale klientów i partnerów), bo CVE-2026-83542 nie wymaga logowania. Sprawdź także rozwiązania dostarczane przez integratorów, które bazują na OFBiz.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-83542?
CVE-2026-83542 to podatność typu wstrzyknięcie kodu (Code Injection) w Apache OFBiz 24.09 przed 24.09.08, oceniona na CVSS 9.8. Zdalny, nieuwierzytelniony atakujący może przez spreparowany widget XML i anonimowe żądanie JSON doprowadzić do wykonania wyrażenia Groovy bez piaskownicy, czyli dowolnego kodu na serwerze.
Kogo dotyczą CVE-2026-83542 i CVE-2026-82907?
Obie podatności dotyczą Apache OFBiz 24.09 w wersjach wcześniejszych niż 24.09.08, na wszystkich platformach. Najbardziej narażone są instancje OFBiz dostępne z internetu, np. sklepy e-commerce i portale oparte na tym systemie ERP.
Jak zabezpieczyć się przed CVE-2026-83542 i CVE-2026-82907?
Apache zaleca aktualizację do OFBiz 24.09.08, która naprawia obie podatności. Do czasu aktualizacji ogranicz dostęp do aplikacji OFBiz z internetu, a po aktualizacji unieważnij aktywne sesje i przejrzyj logi pod kątem nieautoryzowanych działań.
Na czym polega CVE-2026-82907?
CVE-2026-82907 (CVSS 9.8) to obejście uwierzytelnienia przez przechwycenie i odtworzenie (capture-replay) wartości externalLoginKey w ExternalLoginKeysManager. Klucz działa jak token okaziciela: nie jest powiązany z klientem, nie wygasa i nie jest unieważniany po użyciu, więc jego przechwycenie daje atakującemu wielokrotnie używalną sesję ofiary we wszystkich dostępnych jej aplikacjach OFBiz.
