VULNERABILIDADDetectada 05 NOV · 12:47

CVE-2026-82902 Falsificación de petición del lado del servidor (SSRF) en ViewDataFile de Apache OFBiz

ViewDataFile.groovy resuelve los parámetros DEFINITION_LOCATION y DATAFILE_LOCATION como objetos java.net.URL sin lista de esquemas permitidos, filtro de host ni control de egreso, dentro de una acción de pantalla que se ejecuta antes de los controles de permisos. Un atacante remoto autenticado con permisos base de webtools puede hacer que el servidor emita peticiones HTTP salientes arbitrarias, y con ENTITY_MAINT y DATAFILE_MAINT puede leer archivos locales arbitrarios mediante una URL file:. Se recomienda…

4.3MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 29
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

Apache Software Foundation Apache OFBiz
hasta antes de 24.09.08

Qué hacer

Verificá si usás Apache OFBiz y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadNinguna
DisponibilidadNinguna

Descripción original

Server-Side Request Forgery in ViewDataFile in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only the base webtools permissions (OFBTOOLS_VIEW, WEBTOOLS_VIEW) to cause the server to issue arbitrary outbound HTTP requests, and an attacker additionally holding ENTITY_MAINT and DATAFILE_MAINT to read arbitrary local files via a file: URL, by supplying the DEFINITION_LOCATION or DATAFILE_LOCATION request parameter to the viewdatafile screen, because ViewDataFile.groovy dereferences both parameters as java.net.URL objects with no scheme allow-list, host filter, or egress control inside a screen action that runs before the screen's and template's permission checks are evaluated, so the fetch executes regardless of whether the requesting account is authorized to view its result. Users are recommended to upgrade to version 24.09.08, which fixes this issue.

Referencias (1)

lists.apache.org/thread.html/7b2syzksp7klt9fvhdg0olldvs2g83lz

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.