CVE-2026-82910

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição Ocorre uma Injeção de Template no Lado do Servidor (SSTI) no MacroScreenRenderer. Um invasor remoto autenticado com permissões de visualização específicas pode executar comandos arbitrários do sistema operacional como a conta de serviço do OFBiz por meio de uma única requisição GET. Isso é possível porque a função renderLink concatena valores de parâmetros de link literalmente entre apóstrofos em uma string de origem de template não citada e não escapada. Quando essa string é compilada e avaliada, a expressão injetada atinge a função FlexibleStringExpander.expandString(), levando à execução de código sem sandbox através de interpolação Groovy montada em tempo de execução.

Recomendações Atualizar para a versão 24.09.08.