CVE-2026-50223
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie kodu w Apache OFBiz umożliwia niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi z uprawnieniami edycji treści/zasobów danych przeprowadzenie ataku przez wstrzyknięcie szablonu, co może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.07.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.07 lub nowszej.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-46586Wysokie
W Apache OFBiz występuje podatność związana z niewłaściwą kontrolą generacji kodu oraz niewłaściwą neutralizacją dyrektyw w dynamicznie ocenianym kodzie. Problem ten dotyczy wersji przed 24.09.06.
- CVE-2026-31910Wysokie
W podatności Server-Side Request Forgery (SSRF) w Apache OFBiz przed wersją 24.09.06, atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych lub zewnętrznych zasobów.
- CVE-2026-31909Wysokie
W podatności CVE-2026-31909 w Apache OFBiz występuje ujawnienie wrażliwych informacji osobom nieuprawnionym. Problem dotyczy wersji przed 24.09.06.
- CVE-2026-29226Wysokie
W podatności SSRF w Apache OFBiz, występującej w operacjach komponentu Content, atakujący może wysyłać złośliwe żądania do serwera. Problem dotyczy wersji Apache OFBiz przed 24.09.06.
- CVE-2016-4462Wysokie
Podatność CVE-2016-4462 pozwala na manipulację parametrem URL externalLoginKey przez złośliwego, zalogowanego użytkownika, co może prowadzić do wykonania złośliwego kodu zdalnego poprzez odpowiednio skonstruowany szablon Freemarker.
- CVE-2026-45434Krytyczne
W podatności CVE-2026-45434 w Apache OFBiz występuje błąd w logice zmiany hasła, który może prowadzić do zdalnego wykonania kodu. Problem dotyczy wersji przed 24.09.06.
- CVE-2026-41919Krytyczne
W podatności CVE-2026-41919 występuje niewłaściwa neutralizacja specjalnych elementów używanych w zapytaniach LDAP, co prowadzi do podatności na ataki typu LDAP Injection w Apache OFBiz.
- CVE-2026-31986Krytyczne
Podatność związana z użyciem zakodowanego klucza kryptograficznego w Apache OFBiz. Problem dotyczy wersji przed 24.09.06.
- CVE-2012-1622Krytyczne
Apache OFBiz w wersji 10.04.x przed 10.04.02 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory.
- CVE-2016-2170Krytyczne
Apache OFBiz w wersjach 12.04.x przed 12.04.06 oraz 13.07.x przed 13.07.03 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, co jest związane z biblioteką Apache Commons Collections.
Oryginalny opis (angielski, źródło NVD)
Improper Control of Generation of Code ('Code Injection') vulnerability in Apache OFBiz allows a low-privileged authenticated user with Content/DataResource editing privileges to perform template injection attacks that could lead to Remote Code Execution. This issue affects Apache OFBiz: before 24.09.07. Users are recommended to upgrade to version 24.09.07, which fixes the issue.