Injeção de código no ModelFormField do plugin cms permite que um atacante remoto autenticado com acesso de editor de conteúdo do CMS execute comandos arbitrários do sistema operacional como o usuário do processo OFBiz. Isso ocorre por meio de uma única requisição HTTP POST para o endpoint 'EditAddContent' ao enviar um parâmetro `caContentIdTo` manipulado. A tela do CMS copia esse parâmetro para uma variável de contexto de nível superior que é interpolada no atributo use-when de um campo de formulário, e a string resultante é passada sem validação para a função `GroovyUtil.eval()`. O sandbox SecureASTCustomizer em tempo de compilação não restringe a reflexão em tempo de execução, permitindo que um payload feche a literal de string expandida e invoque java.lang.Runtime via reflexão.