CVE-2026-82912
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Wstrzyknięcie wyrażenia Expression Language w EmailServices w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu atakującemu z uprawnieniami OFBTOOLS_VIEW i ACCOUNTING_VIEW na wykonanie dowolnych poleceń systemowych jako użytkownik procesu OFBiz poprzez przesłanie wyrażenia ${groovy:...} w polu bodyText lub subject formularza Send Per Email, ponieważ wartości są przekazywane przez FlexibleStringExpander.expandString bez ograniczeń sandboxa.
Ocena ryzyka
Atakujący z uprawnieniami podglądu księgowości może wykonać dowolne polecenia systemowe, przejmując kontrolę nad serwerem.
Rekomendacja
Zaktualizuj Apache OFBiz do wersji 24.09.08, która naprawia tę podatność.
Inne podatności w Apache OFBiz
Zobacz wszystkie- CVE-2026-97356Nieznane
W komponencie ViewFile w Label Manager w Apache OFBiz 24.09.07 wykryto podatność External Control of File Name or Path. Uwierzytelniony użytkownik z uprawnieniem LABEL_MANAGER_VIEW może odczytać dowolne pliki properties i XML na serwerze, w tym klucz podpisywania JWT, co umożliwia sfałszowanie sesji administratora.
- CVE-2026-97355Nieznane
W komponencie AdminServer w Apache OFBiz 24.09.07 wykryto podatność Use of Hard-coded Password. Atakujący mogący dotrzeć do portu kontrolnego AdminServer może odpytać o stan serwera i wywołać nieuwierzytelnione zatrzymanie instancji przy użyciu stałego domyślnego klucza kontrolnego z start.properties.
- CVE-2026-92887Nieznane
W parserze definicji .rest.xml (ModelApiReader) frameworka REST API w Apache OFBiz do 24.09.07 wykryto nieprawidłową wartość domyślną. Zdalny, nieuwierzytelniony atakujący może wywołać operację REST API bez ważnych poświadczeń, gdy definicja pomija atrybut auth, który jest błędnie interpretowany jako false zamiast true.
- CVE-2026-83538Nieznane
Brak autoryzacji w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu zdalnemu atakującemu ujawnić wewnętrzne rekordy biznesowe (dane organizacji, pracowników, katalogu produktów i sklepów) poprzez odwołanie się do kilku endpointów pomocniczych w aplikacjach Human Resources, Catalog i Order Manager, które pomijają uwierzytelnianie i nie sprawdzają uprawnień.
- CVE-2026-114277Nieznane
Obejście uwierzytelniania przez dane uznane za niezmienne w opcjonalnej integracji Janrain Engage Social Login w komponencie ecommerce Apache OFBiz przed 24.09.08 pozwala na nieprawidłowe powiązanie uwierzytelnionych tożsamości zewnętrznych z lokalnymi kontami użytkowników.
- CVE-2026-114272Nieznane
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w komponencie przeglądania treści w Apache OFBiz 24.09 przed 24.09.08 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do przeglądania treści w zakresie roli na odczyt danych treści, do których nie ma uprawnień, poprzez żądanie ViewSimpleContent łączące contentId, do którego ma dostęp, z dataResourceId innej treści.
- CVE-2026-114271Nieznane
W Apache OFBiz 24.09 przed 24.09.08 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w usługach list zakupowych. Uwierzytelniony użytkownik o niskich uprawnieniach, np. samodzielnie zarejestrowany klient e-commerce, może zmodyfikować lub przejąć listę zakupową innej osoby i odczytać jej zawartość, podając identyfikator cudzej listy w żądaniu do endpointu aktualizacji.
- CVE-2026-114235Nieznane
W komponencie Order w Apache OFBiz 24.09 przed 24.09.08 występuje bezpośrednie żądanie (forced browsing). Uwierzytelniony użytkownik mający jedynie uprawnienia do przeglądania Order Managera może zmienić numer śledzenia przesyłki dowolnego zamówienia poprzez bezpośrednie żądanie do endpointu updateTrackingNumber.
- CVE-2026-114233Nieznane
W Order Manager w Apache OFBiz 24.09 przed 24.09.08 występuje nieprawidłowe przypisanie uprawnień. Uwierzytelniony użytkownik posiadający jedynie uprawnienie ORDERMGR_VIEW, bez ORDERMGR_UPDATE i bez roli w zamówieniu, może modyfikować zatwierdzone zamówienia — zmieniać adres dostawy i metodę wysyłki grupy wysyłkowej lub dodawać pozycje z nadpisaną ceną — poprzez usługi updateShipGroupShipInfo i appendOrderItem.
- CVE-2026-114229Nieznane
W przeglądarce obrazów katalogu w Apache OFBiz 24.09 przed 24.09.08 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron (cross-site scripting). Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w sesji przeglądarki zalogowanego użytkownika back-office poprzez spreparowany adres URL viewImage, który użytkownik otworzy w aplikacji.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements Used in an Expression Language Statement ('Expression Language Injection') in EmailServices in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote authenticated attacker holding only OFBTOOLS_VIEW and ACCOUNTING_VIEW, the two view-level permissions that open the Accounting application, to execute arbitrary operating system commands as the account running OFBiz, by submitting a ${groovy:...} expression as the bodyText or subject value to the shipped Send Per Email invoice form, because sendMailFromScreen passes those caller-supplied values through FlexibleStringExpander.expandString, which compiles and evaluates embedded Groovy on a class loader that carries none of the SecureASTCustomizer restrictions GroovyUtil.eval applies elsewhere, behind a service and request-map that declare no permission check beyond base authentication. Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS