CVE-2022-25813

Apache OFBiz versões 18.12.05 e anteriores

A vulnerabilidade permite que um invasor, agindo como um usuário anônimo do plugin de comércio eletrônico, insira conteúdo malicioso no campo “Assunto” de uma mensagem na página “Fale conosco”. Isso pode levar a uma injeção de modelo no lado do servidor (SSTI) quando um gerente de parte lista comunicações no componente de parte, resultando potencialmente em execução remota de código (RCE).

Para as versões 18.12.05 e anteriores do Apache OFBiz, considere restringir o acesso à página “Fale conosco” ou validar e sanitizar as entradas do usuário no campo “Assunto” para impedir a inserção de conteúdo malicioso. Como solução temporária, restrinja a capacidade de usuários anônimos de enviar mensagens por meio do plugin de comércio eletrônico até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.