PT-2026-137507
CVE-2026-82912
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Apache OFBiz الإصدارات من 24.09 إلى 24.09.07
الوصف
يوجد ثغرة حقن لغة التعبير (Expression Language Injection) في EmailServices. يمكن لمهاجم عن بُعد مصرح له يمتلك صلاحيات
OFBTOOLS VIEW و ACCOUNTING VIEW تنفيذ أوامر نظام تشغيل تعسفية باستخدام الحساب الذي يقوم بتشغيل البرنامج. يحدث هذا عند إرسال تعبير ${groovy:...} كقيمة لـ bodyText أو subject في نموذج فاتورة Send Per Email. تقوم الدالة sendMailFromScreen بتمرير هذه القيم عبر FlexibleStringExpander.expandString التي تقوم بتقييم Groovy المدمج دون قيود SecureASTCustomizer التي يطبقها GroovyUtil.eval عادةً.التوصيات
التحديث إلى الإصدار 24.09.08.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾