CVE-2026-83542

Nome do Software Vulnerável e Versões Afetadas Apache OFBiz versões 24.09 até 24.09.07

Descrição O Controle Impróprio da Geração de Código permite que um invasor remoto não autenticado execute código arbitrário no servidor. O problema ocorre quando um invasor prepara um XML de widget manipulado via upload multipart e substitui o mainDecoratorLocation usado por uma rota de login de gerente através de uma requisição JSON anônima. Isso faz com que o sistema carregue o XML preparado através de seu mecanismo de descritor de tela ao vivo e avalie uma expressão Groovy (uma linguagem de script dinâmica para a plataforma Java) não isolada ao renderizar a página de falha de autenticação. A falha também é acessível através do endpoint não autenticado '/sfa/control/editPortalPageColumnWidth', que pode retornar a saída de comandos diretamente em uma resposta HTTP 200.

Recomendações Atualizar para a versão 24.09.08.