CVE-2026-82910

Apache OFBiz 24.09 versiyasının 24.09.08-dən əvvəlki bütün platformalarda olan MacroScreenRenderer komponentində şablon mühərrikində istifadə olunan xüsusi elementlərin yanlış neytrallaşdırılması ('Server-Side Template Injection'), yalnız bir control-servlet veb tətbiqinin iki baxış icazəsinə (məsələn, /catalog ünvanında CATALOG_VIEW və OFBTOOLS_VIEW, OFBiz-in öz təmin etdiyi order-entry clerk rolu tərəfindən saxlanılan) malik olan uzaqdakı autentifikasiya olunmuş hücumçunun tək bir GET sorğusu ilə OFBiz servis hesabı kimi ixtiyari əməliyyat sistemi əmrlərini icra etməsinə şərait yaradır. Bu, ekran link parametrinin dəyərinə tək dırnaq işarəsindən sonra FreeMarker ifadə mənbəyinin yerləşdirilməsi ilə baş verir, çünki renderLink funksiyası link parametrinin dəyərlərini tək dırnaqlar arasında olduğu kimi, dırnaqsız və escape edilməmiş şablon-mənbə sətirinə birləşdirir və bu sətir render zamanı kompilyasiya edilib qiymətləndirilir. Bu, inyeksiya edilmiş ifadənin ağ siyahıya alınmış FlexibleStringExpander.expandString çağırışına çatmasına və runtime-da yığılmış Groovy interpolyasiyası vasitəsilə sandbox-dan kənar kodun icrasına imkan verir. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yüksəltmə etmək tövsiyə olunur.