CVE-2026-82912

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição Uma Injeção de Linguagem de Expressão existe no EmailServices. Um invasor remoto autenticado com as permissões OFBTOOLS VIEW e ACCOUNTING VIEW pode executar comandos arbitrários do sistema operacional como a conta que executa o software. Isso ocorre quando uma expressão ${groovy:...} é enviada como o valor de bodyText ou subject no formulário de fatura Send Per Email. A função sendMailFromScreen passa esses valores através do FlexibleStringExpander.expandString, que avalia Groovy incorporado sem as restrições do SecureASTCustomizer normalmente aplicadas pelo GroovyUtil.eval.

Recomendações Atualizar para a versão 24.09.08.