Apache OFBiz CVE-2026-82907 – krytyczna luka umożliwia przejęcie sesji bez hasła (CVSS 9,8)

W Apache OFBiz wykryto krytyczną podatność bezpieczeństwa CVE-2026-82907, która umożliwia przejęcie sesji użytkownika bez znajomości jego hasła. Zagrożenie dotyczy mechanizmu externalLoginKey, wykorzystywanego do przekazywania uwierzytelnienia pomiędzy aplikacjami działającymi w ramach platformy. Luka otrzymała ocenę CVSS 9,8/10 i dotyczy wszystkich wersji Apache OFBiz wcześniejszych niż 24.09.08. Poprawka jest już dostępna.

Podatność została uwzględniona w oficjalnym komunikacie Apache Software Foundation z 4 listopada 2026 roku. Szczegółowy rekord CVE opublikowano 5 listopada. Problem jest szczególnie istotny dla przedsiębiorstw wykorzystujących Apache OFBiz jako platformę e-commerce, system ERP lub zaplecze obsługujące zamówienia, płatności, magazyny i konta pracowników.

Ważnym warunkiem przeprowadzenia ataku jest wcześniejsze zdobycie ważnej wartości externalLoginKey. Jeżeli jednak napastnik ją przechwyci, w podatnej instalacji może wykorzystać ją do uzyskania sesji użytkownika bez konieczności podawania hasła ani posiadania wcześniejszej sesji przeglądarkowej.

Na czym polega podatność CVE-2026-82907?

Apache OFBiz wykorzystuje mechanizm ExternalLoginKeysManager do obsługi uwierzytelniania pomiędzy różnymi aplikacjami działającymi w obrębie jednej platformy.

Rozwiązanie pozwala użytkownikowi przechodzić pomiędzy modułami bez konieczności ponownego logowania do każdego z nich.

W praktyce administrator lub pracownik przedsiębiorstwa może korzystać z kilku aplikacji OFBiz, na przykład modułu zamówień, katalogu produktów, magazynu i rozliczeń finansowych, zachowując odpowiedni kontekst uwierzytelnienia.

Do przekazywania tego kontekstu wykorzystywany jest parametr externalLoginKey.

W podatnych wersjach Apache OFBiz mechanizm ten posiadał kilka poważnych błędów bezpieczeństwa:

• Klucze uwierzytelniające nie były prawidłowo powiązane z konkretnym klientem lub urządzeniem.
• Po wykorzystaniu klucz nie był unieważniany.
• Nie stosowano skutecznego ograniczenia czasu ważności klucza.
• Klucz mógł być wielokrotnie wykorzystywany do uzyskiwania uwierzytelnionej sesji.
• Mechanizm aplikacji mógł dołączać aktywne klucze do odsyłaczy prowadzących pomiędzy aplikacjami.
• Nieprawidłowa kontrola adresów docelowych mogła spowodować przekazanie klucza do zewnętrznego serwera.

W efekcie wartość, która powinna być ściśle kontrolowanym i krótkotrwałym elementem procesu uwierzytelniania, mogła zostać wykorzystana jako wielokrotnego użytku poświadczenie dostępu.

Jak napastnik może przejąć sesję użytkownika Apache OFBiz?

Podatność została zaklasyfikowana między innymi jako CWE-294, czyli Authentication Bypass by Capture-replay, oraz CWE-613, czyli Insufficient Session Expiration.

Mechanizm ataku opiera się na przechwyceniu prawidłowego klucza uwierzytelniającego i jego ponownym wykorzystaniu.

1. Przechwycenie wartości externalLoginKey

Pierwszym etapem jest zdobycie aktywnej wartości externalLoginKey przypisanej do zalogowanego użytkownika.

Klucz może zostać ujawniony, jeżeli aplikacja dołączy go do adresu URL prowadzącego poza zaufane środowisko.

Według opisu podatności mechanizm WidgetWorker nie weryfikował odpowiednio adresów docelowych wykorzystywanych przy tworzeniu odsyłaczy pomiędzy aplikacjami.

W określonych warunkach możliwe było więc doprowadzenie do sytuacji, w której adres odsyłacza zawierał aktywny klucz uwierzytelniający użytkownika i prowadził do serwera kontrolowanego przez napastnika.

Jest to szczególnie niebezpieczne, ponieważ wartości przekazywane w adresach URL mogą trafiać do dzienników serwerów i innych systemów przetwarzających żądania HTTP.

2. Ponowne wykorzystanie przechwyconego klucza

Po zdobyciu ważnego externalLoginKey napastnik może użyć go jako poświadczenia uwierzytelniającego.

W podatnych wersjach Apache OFBiz mechanizm checkExternalLoginKey był uruchamiany jako globalny preprocesor żądań, przed standardowymi mechanizmami kontroli uwierzytelniania i ochrony CSRF.

Oznaczało to, że poprawna wartość klucza mogła zostać zaakceptowana jako podstawa uwierzytelnienia użytkownika.

Klucz nie był jednorazowy, nie posiadał skutecznego terminu wygaśnięcia i nie był odpowiednio powiązany z klientem, dla którego został wygenerowany.

Napastnik posiadający ważny externalLoginKey mógł uzyskać dostęp do aplikacji jako użytkownik, któremu pierwotnie wydano klucz.

3. Dostęp do wielu aplikacji w ramach OFBiz

Problem nie ograniczał się do jednej aplikacji.

Mechanizm externalLoginKey był wykorzystywany przy przechodzeniu pomiędzy modułami Apache OFBiz. W podatnych wersjach przechwycony klucz mógł umożliwiać uzyskanie sesji użytkownika również w innych aplikacjach, do których miał on uprawnienia.

Jeżeli klucz należał do administratora posiadającego szerokie uprawnienia, konsekwencje mogły być znacznie poważniejsze niż w przypadku konta pracownika o ograniczonym dostępie.

Zakres możliwych działań napastnika zależy od uprawnień przejętego użytkownika. Luka nie przyznaje automatycznie dodatkowych uprawnień administracyjnych każdej przejętej sesji.

Dlaczego luka jest szczególnie groźna dla sklepów internetowych?

Apache OFBiz jest rozbudowanym rozwiązaniem biznesowym obejmującym funkcje ERP, CRM, e-commerce, zarządzania magazynami i obsługi procesów finansowych.

W zależności od wdrożenia sklep internetowy może wykorzystywać Apache OFBiz do zarządzania zamówieniami, kontami klientów, dokumentami sprzedażowymi i integracjami z systemami zewnętrznymi.

Przejęcie sesji użytkownika mającego dostęp do takich modułów może potencjalnie umożliwić:

• Dostęp do danych klientów: przeglądanie informacji o kontrahentach, adresach i historii zamówień, jeżeli konto posiada takie uprawnienia.
• Manipulowanie zamówieniami: wykonywanie operacji dostępnych dla przejętego użytkownika, w tym ewentualne zmiany statusów i danych zamówień.
• Dostęp do informacji magazynowych: odczytywanie lub modyfikowanie danych związanych z produktami i stanami magazynowymi w ramach przyznanych uprawnień.
• Nieautoryzowane operacje finansowe: korzystanie z funkcji płatności i rozliczeń dostępnych dla danego konta.
• Dostęp do narzędzi administracyjnych: jeżeli przejęty klucz należy do użytkownika posiadającego odpowiednie uprawnienia.
• Zmiany konfiguracji integracji: wykonywanie operacji administracyjnych w połączonych modułach, jeśli pozwalają na to uprawnienia konta.

Są to potencjalne następstwa przejęcia sesji, a nie potwierdzenie, że wszystkie wymienione operacje zostały już wykonane podczas rzeczywistych ataków.

W przypadku przedsiębiorstwa prowadzącego sprzedaż wielokanałową szczególnym zagrożeniem jest możliwość uzyskania dostępu do kilku procesów biznesowych przy użyciu jednego przechwyconego klucza.

CVE-2026-82907 — ocena CVSS 9,8 i podatne wersje

Podatność otrzymała ocenę 9,8 w systemie CVSS 3.1, co odpowiada krytycznemu poziomowi zagrożenia.

Ocena CVSS uwzględnia możliwość przeprowadzenia ataku zdalnie i bez posiadania własnego konta. Nie oznacza jednak, że napastnik może przejąć dowolną sesję bez zdobycia klucza. Warunek ten pozostaje istotnym elementem scenariusza wykorzystania CVE-2026-82907.

Szczegółowy opis techniczny, ocenę podatności i informacje o poprawce zawiera ostrzeżenie GHSA-5×82-v6v2-mgfh dotyczące CVE-2026-82907.

Jak Apache OFBiz 24.09.08 rozwiązuje problem?

Apache Software Foundation wprowadziła kilka zmian dotyczących generowania, przekazywania i wykorzystywania kluczy externalLoginKey.

Poprawki obejmują następujące zabezpieczenia:

Ograniczenie możliwości wielokrotnego wykorzystania kluczy

Klucze externalLoginKey przestały być bezterminowymi poświadczeniami wielokrotnego użytku.

W poprawionym mechanizmie wprowadzono ograniczony czas ważności oraz kontrolę jednorazowego użycia w ramach poszczególnych aplikacji.

Pozwala to ograniczyć skuteczność ataków polegających na ponownym wykorzystaniu przechwyconych wartości.

Powiązanie klucza z przeznaczoną aplikacją

Poprawiono również kontrolę tego, w której aplikacji dany klucz może zostać zaakceptowany.

Wcześniej mechanizm nie wymuszał odpowiednio powiązania klucza z właściwymi aplikacjami docelowymi, co zwiększało zakres potencjalnego wykorzystania przechwyconych danych.

Zmiany ograniczają możliwość użycia klucza w aplikacji, dla której nie został przeznaczony.

Zabezpieczenie odsyłaczy prowadzących do zewnętrznych serwerów

Wprowadzono kontrolę adresów wykorzystywanych przy generowaniu odsyłaczy pomiędzy aplikacjami.

Klucz externalLoginKey nie powinien być automatycznie dołączany do adresów zawierających zewnętrzny schemat lub wskazujących obcy serwer.

Ma to zapobiegać przypadkowemu lub celowemu przekazywaniu aktywnych danych uwierzytelniających poza zaufane środowisko Apache OFBiz.

Poprawienie kontroli włączania i wyłączania mechanizmu

Wcześniejsze wydania zawierały również błąd związany z ustawieniem security.login.externalLoginKey.enabled.

Konfiguracja mogła zostać odczytana i zapamiętana przy pierwszym użyciu, przez co późniejsza zmiana ustawienia nie była natychmiast uwzględniana.

Co ważniejsze, mechanizm przetwarzający otrzymane klucze nie sprawdzał prawidłowo, czy funkcja została wyłączona.

Dlatego samo ustawienie tej opcji na false w podatnej instalacji nie stanowiło wiarygodnej metody usunięcia problemu.

Poprawione wydanie uwzględnia kontrolę tego ustawienia również podczas przetwarzania otrzymanych kluczy.

Zmiany w obsłudze kluczy opisano między innymi w oficjalnej poprawce Apache OFBiz dotyczącej externalLoginKey.

Jak sprawdzić, czy firmowy system Apache OFBiz jest zagrożony?

Administrator powinien w pierwszej kolejności ustalić, czy przedsiębiorstwo korzysta z Apache OFBiz oraz która wersja aplikacji jest faktycznie uruchomiona.

W rozbudowanych środowiskach e-commerce system może działać na oddzielnym serwerze i nie być bezpośrednio widoczny dla klientów sklepu.

Kontrola powinna obejmować:

1. Wersję Apache OFBiz: sprawdzenie, czy produkcyjna instalacja została zaktualizowana do wydania 24.09.08 lub nowszego.
2. Dostępność interfejsów: identyfikację aplikacji i paneli OFBiz udostępnionych przez Internet.
3. Użytkowników i role: ustalenie, które konta posiadają dostęp do zamówień, płatności, magazynów i konfiguracji.
4. Wykorzystanie externalLoginKey: sprawdzenie, czy środowisko korzysta z mechanizmu uwierzytelniania pomiędzy aplikacjami.
5. Konfigurację reverse proxy: ocenę, czy serwer pośredniczący nie zapisuje pełnych adresów URL zawierających wrażliwe parametry.
6. Logi aplikacji: analizę nietypowych operacji uwierzytelniania i dostępu pomiędzy modułami.

Jeżeli uruchomiona wersja jest starsza niż 24.09.08, należy uznać instalację za podatną, o ile nie wdrożono niezależnie zweryfikowanej poprawki rozwiązującej ten konkretny problem.

Jak zabezpieczyć Apache OFBiz przed przejęciem sesji?

1. Zaktualizuj system do wersji 24.09.08

Podstawowym działaniem jest instalacja poprawionej wersji Apache OFBiz.

Przed aktualizacją należy wykonać kopię bezpieczeństwa aplikacji, bazy danych, konfiguracji i niestandardowych komponentów.

W środowiskach produkcyjnych warto wcześniej przeprowadzić testy na oddzielnej instalacji, szczególnie jeżeli OFBiz jest połączony z platformą sklepową, magazynem, systemem księgowym lub bramką płatniczą.

Wersja 24.09.08 usuwa również inne podatności, dlatego nie należy ograniczać aktualizacji wyłącznie do jednego fragmentu mechanizmu externalLoginKey.

2. Zweryfikuj dzienniki zawierające parametry uwierzytelniające

Administrator powinien sprawdzić, czy historyczne logi serwera WWW, reverse proxy, narzędzi monitoringu lub aplikacji nie przechowują pełnych adresów URL zawierających parametr externalLoginKey.

Jeżeli takie wartości są obecne, należy potraktować je jako potencjalnie wrażliwe dane uwierzytelniające.

Dostęp do dzienników powinien być ograniczony do uprawnionych administratorów, a polityka przechowywania logów powinna uwzględniać ochronę parametrów umożliwiających uwierzytelnianie.

3. Sprawdź konta administratorów i aktywne sesje

Szczególną uwagę należy zwrócić na konta posiadające szerokie uprawnienia do wielu aplikacji Apache OFBiz.

Jeżeli istnieje podejrzenie wykorzystania przechwyconego klucza, zalecane jest sprawdzenie historii operacji wykonanych przez zagrożone konto i unieważnienie odpowiednich sesji.

Warto także zweryfikować, czy nie doszło do nieautoryzowanej zmiany konfiguracji, uprawnień użytkowników lub danych biznesowych.

4. Ogranicz dostęp do paneli administracyjnych

Interfejsy administracyjne i biznesowe, które nie muszą być publicznie dostępne, powinny zostać ograniczone do zaufanych sieci lub użytkowników.

Dodatkowe mechanizmy kontroli dostępu mogą zmniejszyć powierzchnię ataku, ale nie zastępują aktualizacji samego OFBiz.

W szczególności nie należy zakładać, że samo wyłączenie jednej funkcji lub zablokowanie pojedynczego adresu URL całkowicie eliminuje zagrożenie.

5. Zweryfikuj poprawność działania integracji po aktualizacji

Po instalacji poprawki należy sprawdzić, czy użytkownicy mogą prawidłowo przechodzić pomiędzy aplikacjami OFBiz zgodnie z przydzielonymi uprawnieniami.

Warto przetestować logowanie, wylogowywanie, dostęp do poszczególnych modułów, obsługę zamówień i pozostałe procesy wykorzystujące wspólne uwierzytelnianie.

Jeżeli firma korzysta z własnych rozszerzeń, należy upewnić się, że nie zakładają one bezterminowej ważności externalLoginKey.

Czy podatność CVE-2026-82907 jest już wykorzystywana w rzeczywistych atakach?

Na dzień 6 listopada 2026 roku nie potwierdzono publicznie aktywnej kampanii wykorzystującej CVE-2026-82907 przeciwko instalacjom Apache OFBiz.

Nie oznacza to jednak, że podatność jest wyłącznie teoretyczna.

Oficjalny opis dokumentuje mechanizm obejścia uwierzytelniania poprzez przechwycenie i ponowne wykorzystanie aktywnego externalLoginKey.

Ocena CVSS 9,8 odzwierciedla możliwość zdalnego przeprowadzenia ataku bez posiadania własnego konta oraz potencjalnie bardzo poważne skutki przejęcia sesji użytkownika.

Warunkiem pozostaje zdobycie prawidłowego klucza. Nie ma podstaw do twierdzenia, że dowolny anonimowy użytkownik Internetu może przejąć każde konto Apache OFBiz bez wcześniejszego pozyskania takiego poświadczenia.

Dlaczego podatności systemów ERP mogą zagrozić również innym platformom sprzedażowym?

Apache OFBiz nie musi pełnić funkcji bezpośrednio widocznej platformy sklepowej. W wielu modelach wdrożenia systemy ERP odpowiadają za procesy biznesowe realizowane poza interfejsem zakupowym.

Firmy prowadzące sklepy internetowe mogą wykorzystywać oddzielne systemy do zarządzania zamówieniami, produktami, dokumentami sprzedaży i magazynem.

Jeżeli Apache OFBiz jest jednym z takich systemów, przejęcie sesji użytkownika może zagrozić procesom realizowanym na zapleczu sprzedaży.

Nie oznacza to jednak, że WooCommerce, Magento, PrestaShop, Shopify czy Shoper posiadają podatność CVE-2026-82907. Zagrożenie dotyczy Apache OFBiz i może oddziaływać na inne rozwiązania wyłącznie wtedy, gdy są połączone z podatnym środowiskiem.

Dlatego bezpieczeństwo przedsiębiorstwa prowadzącego sprzedaż internetową powinno obejmować nie tylko sam koszyk i checkout, ale również systemy zarządzania zamówieniami, kontami pracowników i integracjami.

Apache OFBiz 24.09.08 — pilna aktualizacja zabezpieczeń

CVE-2026-82907 jest jedną z krytycznych podatności usuniętych w Apache OFBiz 24.09.08. Problem dotyczy błędów w zarządzaniu kluczami externalLoginKey, które mogły być przechwytywane, wielokrotnie wykorzystywane i akceptowane poza właściwym zakresem aplikacji.

W przypadku zdobycia aktywnego klucza napastnik może przejąć sesję jego właściciela bez znajomości hasła, a zakres uzyskanego dostępu zależy od uprawnień przejętego użytkownika.

Administratorzy powinni niezwłocznie zaktualizować podatne instalacje do wersji 24.09.08, sprawdzić sposób obsługi kluczy między aplikacjami oraz zabezpieczyć historyczne logi mogące zawierać wrażliwe parametry uwierzytelniające.

Pełny wykaz podatności usuniętych w aktualnym wydaniu znajduje się na oficjalnej stronie bezpieczeństwa Apache OFBiz.