CVE-2026-82960

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões anteriores a 24.09.08

Descrição Injeção de código no ModelFormField do plugin cms permite que um atacante remoto autenticado com acesso de editor de conteúdo do CMS execute comandos arbitrários do sistema operacional como o usuário do processo OFBiz. Isso ocorre por meio de uma única requisição HTTP POST para o endpoint 'EditAddContent' ao enviar um parâmetro caContentIdTo manipulado. A tela do CMS copia esse parâmetro para uma variável de contexto de nível superior que é interpolada no atributo use-when de um campo de formulário, e a string resultante é passada sem validação para a função GroovyUtil.eval(). O sandbox SecureASTCustomizer em tempo de compilação não restringe a reflexão em tempo de execução, permitindo que um payload feche a literal de string expandida e invoque java.lang.Runtime via reflexão.

Recomendações Atualizar para a versão 24.09.08.