CVE-2026-83538 Falta de autorización en endpoints de Human Resources, Catalog y Order Manager de Apache OFBiz
Varios endpoints auxiliares de las aplicaciones Human Resources, Catalog y Order Manager están configurados para omitir la autenticación y no realizan control de permisos antes de devolver el registro solicitado. Un atacante remoto no autenticado puede divulgar registros internos de negocio, incluidos datos de organización, empleados, catálogo de productos y tiendas de productos. Se recomienda actualizar a la versión 24.09.08.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 21
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache OFBiz
hasta antes de 24.09.08
Qué hacer
- Verificá si usás Apache OFBiz y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
Missing Authorization in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to disclose internal business records — including organization, employee, product catalog, and product-store data — by requesting several helper endpoints across the Human Resources, Catalog, and Order Manager applications that are configured to skip authentication and perform no permission check before returning the requested record. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.