CVE-2026-85627

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 through 24.09.07

Description Existe um problema onde a neutralização inadequada de elementos especiais em um mecanismo de template leva à Injeção de Template no Lado do Servidor (SSTI). Um invasor remoto autenticado com uma conta não administrativa pode executar comandos arbitrários do sistema operacional como o usuário do processo OFBiz. Isso é alcançado usando o evento updateLayoutImage para gravar campos DataResource sem verificação de permissão, redefinindo um DataResource como um template FreeMarker Template Language (FTL) que avalia sua própria chave primária. Esse processo permite que o invasor implante um OFBiz Form Widget onde o atributo use-when executa código Groovy sem sandbox.

Recommendations Atualizar para a versão 24.09.08.