Apache OFBiz'de giriş gerektirmeyen kod çalıştırma açıkları dahil 46 açık kapatıldı

Apache OFBiz’in geliştiricilerinden Jacopo Cappellato, 4 Kasım’da Türkiye saatiyle 19.12’de oss-security e-posta listesine gönderdiği duyuruda, yazılımda bazıları kritik çok sayıda güvenlik açığı bulunduğunu ve 24.09.08’den önceki bütün sürümlerin etkilendiğini bildirdi. Duyuruda 46 CVE numarası listeleniyor. Açıkların CVE kayıtları 5 Kasım’da yayımlandı. Apache kullanıcılara 24.09.08 sürümüne yükseltmelerini öneriyor.

Giriş gerektirmeyen kod çalıştırma açıkları

CVE kayıtlarına göre:

• CVE-2026-83542: Giriş yapmamış bir saldırgan, çok parçalı (multipart) bir yükleme içinde hazırladığı bir arayüz tanımı (widget XML) dosyasını, kimlik doğrulaması gerektirmeyen bir JSON isteğiyle OFBiz’e yükletebiliyor. OFBiz giriş hatası sayfasını oluştururken bu dosyadaki Groovy ifadesini korumalı alan (sandbox) dışında çalıştırıyor. Kayda göre aynı sorun, giriş gerektirmeyen /sfa/control/editPortalPageColumnWidth adresi üzerinden de tetiklenebiliyor ve komutun çıktısı doğrudan yanıtta dönüyor. Apache açığı kritik olarak sınıflandırıyor. CISA’nın kayda eklediği CVSS 3.1 puanı 9.8, CISA’nın değerlendirmesinde açığın istismar edildiğine dair bir bilgi yok. Kayıtta açığı bulanlar olarak Jonah Burgess (CryptoCat), Krishna Uprit ve Abstract Shield’dan David Crees gösteriliyor.
• CVE-2026-68524: Apache’nin verdiği başlığa göre giriş yapmadan kod çalıştırmaya varan bir açık. Kayda göre giriş yapmamış bir saldırgan, OFBiz’in geçici dosyaları işleme biçimini kullanıp açık bir dosya tanımlayıcısına (file descriptor) erişerek ve bir “file:” adresi ekleyerek OFBiz’in kendi hazırladığı bir ekran tanımını yüklemesini sağlayabiliyor. Apache bu açığı önemli (important) olarak sınıflandırıyor.

Diğer açıklar

Duyurudaki listeye ve CVE kayıtlarına göre diğer açıklar arasında şunlar var:

• CVE-2026-109928: Parola sıfırlama ve giriş sırasında kullanılan JWT doğrulamasındaki bir hata. Bir kullanıcının parola sıfırlama anahtarını (token) ele geçiren saldırgan, bu anahtarı doğrudan giriş adresine göndererek o kullanıcının tam yetkili oturumunu alabiliyor. Kullanıcı yöneticiyse yönetici erişimi de elde ediliyor.
• CVE-2026-92887: REST API tanım dosyalarında kimlik doğrulama özelliği yazılmamış işlemler, varsayılan olarak kimlik doğrulamasız çalışıyor. Bu da giriş yapmamış bir saldırganın bu işlemleri çağırmasına izin veriyor.
• CVE-2026-105330: JWT imzalamada kullanılan ve önceki bir düzeltmeyle (CVE-2026-31986) yeni kurulumlardan kaldırılan varsayılan gizli anahtar. Kayda göre açık yalnızca 24.09.06 ve 24.09.07 sürümlerinde, daha eski bir sürümden yükseltilip eski security.properties dosyasını koruyan ve security.internal.sso.enabled ayarı açık olan kurulumlarda, giriş yapmamış bir saldırganın sahte bir JWT ile yönetici erişimi almasına izin veriyor. Apache bu açığı orta (moderate) olarak sınıflandırıyor.
• SQL injection (CVE-2026-81815, MySQL ve MariaDB kullanan kurulumlarda), XML dış varlık (XXE, CVE-2026-81816) ve sunucu tarafı istek sahteciliği (SSRF, CVE-2026-81828) açıkları.
• Yalnızca görüntüleme yetkisi olan kullanıcıların sipariş fiyatlarını ve miktarlarını, ödeme eşleştirmelerini ve finansal hesap bakiyelerini değiştirebildiği yetkilendirme açıkları ile giriş gerektirmeden bazı insan kaynakları, katalog ve sipariş bilgilerini gösteren açıklar.

Önerilen önlemler

Apache, OFBiz kullananların 24.09.08 sürümüne yükseltmesini öneriyor. CVE-2026-105330 kaydına göre yalnızca yükseltmek önceden ayarlanmış anahtarı değiştirmiyor. CVE-2026-31986 düzeltmesinden önceki bir sürümden security.properties dosyasını taşıyarak gelen kurulumlarda, yükseltmeden sonra ayrıca ./gradlew rotateSecretKeys komutunun çalıştırılması gerekiyor.