CVE-2026-76152
Beschrijving NL
Path traversal en een ontbrekende autorisatiecontrole in de imageCrop- en imageRotate-services van Apache OFBiz tot en met versie 24-09-2007 op alle platforms stellen een externe geauthenticeerde aanvaller met alleen Catalogus-weergaverechten in staat om willekeurige, door het OFBiz-proces leesbare, afbeeldingsparseerbare bestanden te lezen die openbaar worden gemaakt via opnieuw gecodeerde en gepubliceerde productinhoud, en om een opnieuw gecodeerde afbeelding naar een willekeurige map te schrijven die door het OFBiz-proces beschrijfbaar is via speciaal geconstrueerde productId- en imageName-parameters. Gebruikers wordt aanbevolen om te upgraden naar versie 24.09.08, waarmee dit probleem wordt opgelost.
Origineel (Engels) tonen
Path traversal and missing authorization check in the imageCrop and imageRotate services in Apache OFBiz through 24.09.07 on all platforms allows a remote authenticated attacker with only Catalog view permission to read arbitrary image-parseable files readable by the OFBiz process, disclosed via re-encoded and republished product content, and to write a re-encoded image to an arbitrary directory writable by the OFBiz process via crafted productId and imageName parameters. Users are recommended to upgrade to version 24.09.08, which fixes this issue.