CVE-2026-97355 Credenciales hardcodeadas en AdminServer de Apache OFBiz
El componente AdminServer usa una clave de control predeterminada fija incluida en start.properties. Un atacante que pueda alcanzar el puerto de control del AdminServer puede consultar el estado de ejecución del servidor y provocar un apagado no autenticado de la instancia. Se recomienda actualizar a la versión 24.09.08.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 4
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache OFBiz
hasta antes de 24.09.08
Qué hacer
- Verificá si usás Apache OFBiz y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
Use of Hard-coded Password vulnerability in the AdminServer component in Apache OFBiz 24.09.07 on all platforms allows an attacker able to reach the AdminServer control port to query the server's running state and trigger an unauthenticated shutdown of the instance via the fixed default control key shipped in start.properties.
Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.