PT-2026-137506
CVE-2026-82910
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المتأثر والإصدارات المتأثرة
Apache OFBiz الإصدارات من 24.09 إلى 24.09.07
الوصف
يحدث حقن للقوالب من جانب الخادم (SSTI) في MacroScreenRenderer. يمكن لمهاجم عن بُعد مصرح له يمتلك أذونات عرض محددة تنفيذ أوامر نظام تشغيل تعسفية باستخدام حساب خدمة OFBiz من خلال طلب GET واحد. يحدث هذا لأن دالة
renderLink تقوم بدمج قيم معاملات الرابط حرفياً بين علامات اقتباس مفردة في سلسلة مصدر قالب غير مقتبسة وغير مفلترة. عندما يتم تجميع هذه السلسلة وتقييمها، يصل التعبير المحقون إلى دالة FlexibleStringExpander.expandString()، مما يؤدي إلى تنفيذ كود غير مقيد عبر استكمال Groovy الذي يتم تجميعه في وقت التشغيل.التوصيات
التحديث إلى الإصدار 24.09.08.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾