Risk Letters

Udnyttet sårbarhed

CVE-2018-8033

TLP:CLEAR

Apache OFBiz Eksponering af følsomme oplysninger til en uautoriseret bruger

I Apache OFBiz 16.11.01 til 16.11.04 håndterer OFBiz HTTP-motoren (org.apache.ofbiz.service.engine.HttpEngine.java) anmodninger om HTTP-tjenester via /webtools/control/httpService-endepunktet. Både POST- og GET-anmodninger til httpService-endepunktet kan indeholde tre parametre: serviceName, serviceMode og serviceContext. Udnyttelsen sker ved at have DOCTYPE'er, der peger på eksterne referencer, som udløser en payload, der returnerer hemmeligheder fra værten.

Fakta

  • Leverandør: Apache
  • Produkt: OFBiz
  • EPSS (sandsynlighed for udnyttelse inden for 30 dage): 25,7 %
  • Første kendte udnyttelse: 29. september 2026
  • Første gang set af Risk Letters: 29. september 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD