CVE-2026-41919: Apache OFBiz: bypass de autenticação por neutralização imprópria de elementos especiais LDAP na construção de DN

Visão geral

O Apache OFBiz é afetado por uma vulnerabilidade classificada como injeção LDAP (CWE-90), descrita como neutralização imprópria de elementos especiais usados em uma consulta LDAP. O título do registro descreve a consequência como bypass de autenticação causado pela neutralização imprópria de elementos especiais LDAP na construção de DN.

Impacto

O vetor CVSS 3.1 registrado é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, com pontuação base de 9,1 (Crítica).
O vetor indica alto impacto na confidencialidade e na integridade, sem impacto na disponibilidade, vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário.
Os dados SSVC do registro classificam o impacto técnico como total e a automatizabilidade como sim.

Produtos e versões afetadas

Produto: Apache Software Foundation OFBiz.
Afetados: versões anteriores a 24.09.06.
Corrigido: 24.09.06, segundo a descrição do registro. O campo estruturado de correções está vazio, então a versão corrigida foi extraída do texto da descrição.

Status de exploração

O registro mostra que este CVE não consta no catálogo KEV da CISA. Não há exploração confirmada na natureza nas fontes consultadas.
O campo de exploração SSVC está registrado como none (inexistente).
A probabilidade EPSS é 0,0059, com percentil de 0,47528.

Correção e mitigação

Atualize o Apache OFBiz para a versão 24.09.06 ou posterior, conforme recomendado no aviso do projeto.
Priorize implantações expostas à internet e as que dependem de autenticação via LDAP, dada a pontuação crítica.
O registro não lista nenhum contorno. Se a atualização for adiada, consulte os canais de aviso do projeto para orientações provisórias.

Orientações de detecção

Mantenha um inventário das instâncias do OFBiz e de suas versões para identificar as anteriores a 24.09.06.
Revise os logs de autenticação em busca de logins bem-sucedidos inesperados ou atividade de autenticação anômala, em nível geral.
Acompanhe a lista de discussão do projeto e o aviso no GitHub para atualizações.

Limitações das informações disponíveis

O registro não descreve o caminho de código vulnerável, os pré-requisitos de configuração nem o fluxo de autenticação exato afetado. Isso é desconhecido com os dados disponíveis.
A lista estruturada de correções está vazia, então a versão corrigida depende do texto da descrição.
A exposição de uma implantação específica depende de sua configuração, que o registro não descreve.
A data do EPSS no registro é posterior à data de publicação; a pontuação é reportada como registrada.

Fontes: registro na NVD, thread da lista Apache, aviso no GitHub.

Perguntas frequentes

O que é o CVE-2026-41919?

É uma vulnerabilidade de injeção LDAP (CWE-90) no Apache OFBiz. O registro descreve a neutralização imprópria de elementos especiais em uma consulta LDAP, e o título se refere a bypass de autenticação.

Quais versões são afetadas?

O registro lista as versões do Apache OFBiz anteriores a 24.09.06 como afetadas. A descrição indica que a atualização para 24.09.06 corrige o problema.

Há registro de exploração conhecida?

O CVE não consta no catálogo KEV da CISA no registro, e não há exploração confirmada na natureza nas fontes consultadas. O campo de exploração SSVC está registrado como none.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.