Apache OFBizの脆弱性、認証済みの利用者に別のサービスを実行される恐れ
Summary
Apache OFBizには、認証済みの利用者が名刺(vCard)取り込みの処理で呼び出すサービスを差し替え、ほかのサービスにアクセスできてしまう脆弱性があります。影響を受けるのは24.09.08より前のバージョンで、24.09.08に更新すると修正されます。CVSSは8.1で、利用中のバージョンを確認し、早めの更新をおすすめします。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Apache OFBizには、認証済みの利用者が名刺(vCard)取り込みの処理で呼び出すサービスを差し替え、ほかのサービスにアクセスできてしまう脆弱性があります。影響を受けるのは24.09.08より前のバージョンで、24.09.08に更新すると修正されます。CVSSは8.1で、利用中のバージョンを確認し、早めの更新をおすすめします。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Apache Software Foundation | Apache OFBiz |
< 24.09.08 |
24.09.08 |
Original description The description as published by the source.
Improper Control of Resource Identifiers ('Resource Injection') vulnerability in Apache OFBiz.
An authenticate user with access to sfa component can override the service to use on vcard import and access to other service.
This issue affects Apache OFBiz: before 24.09.08.
Users are recommended to upgrade to version 24.09.08, which fixes the issue.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web lists.apache.org
- web nvd.nist.gov
- web github.com