CVE-2026-97356 Evasión de autenticación por lectura arbitraria de archivos en ViewFile de Label Manager de Apache OFBiz
El parámetro fileName de una petición ViewFile permite a un usuario autenticado con solo el permiso LABEL_MANAGER_VIEW leer archivos de propiedades y XML arbitrarios del servidor, incluida la clave de firma JWT generada, lo que permite falsificar una sesión de administrador autenticado. Se recomienda actualizar a la versión 24.09.08.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 8
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache OFBiz
hasta antes de 24.09.08
Qué hacer
- Verificá si usás Apache OFBiz y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
External Control of File Name or Path vulnerability in the ViewFile component of Label Manager in Apache OFBiz 24.09.07 on all platforms allows an authenticated user holding only the LABEL_MANAGER_VIEW permission to read arbitrary properties and xml files on the server, including the generated JWT signing key, enabling forgery of an authenticated administrator session, via the fileName parameter of a ViewFile request.
Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.