CVE-2026-82907 Evasión de autenticación por captura y reutilización de externalLoginKey en Apache OFBiz
checkExternalLoginKey se ejecuta como preprocesador global antes de los controles de CSRF y autenticación y acepta la clave como credencial portadora que no está ligada a un cliente, no expira y no se invalida tras su uso. Un atacante remoto no autenticado que capture un valor externalLoginKey activo obtiene una sesión completa, reutilizable y sin cookies como el usuario que la emitió, en todas las webapps a las que ese usuario tenga acceso. Se recomienda actualizar a la versión 24.09.08.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,8 % · percentil 56
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache OFBiz
hasta antes de 24.09.08
Qué hacer
- Verificá si usás Apache OFBiz y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.8 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
Authentication Bypass by Capture-replay in ExternalLoginKeysManager in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker who captures a live externalLoginKey value to obtain a complete, cookie-free, reusable session as the user who issued it, in every webapp that user can reach, because checkExternalLoginKey runs as a global preprocessor ahead of both the CSRF and authentication checks and accepts the key as a bearer credential that is never bound to a client, never expires, and is not invalidated after use, while the framework itself both appends live keys to every cross-webapp link it renders and, via WidgetWorker's unvalidated inter-app link target, lets an authenticated user's key be attached to an attacker-chosen absolute URL and delivered directly to the attacker's own server. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.