CVE-2026-82912

Apache OFBiz 24.09 versiyasının 24.09.08-dən əvvəlki bütün platformalarda olan EmailServices komponentində İfadə Dili (Expression Language) ifadəsində istifadə olunan xüsusi elementlərin yanlış neytrallaşdırılması ('Expression Language Injection') boşluğu mövcuddur. Bu, yalnız Accounting tətbiqini açan iki baxış səviyyəli icazəyə (OFBTOOLS_VIEW və ACCOUNTING_VIEW) malik uzaqdan autentifikasiya olunmuş hücumçunun, göndərilən 'Send Per Email' faktura formasının bodyText və ya subject dəyəri kimi ${groovy:...} ifadəsini təqdim etməklə, OFBiz-i işlədən hesab altında ixtiyari əməliyyat sistemi əmrlərini icra etməsinə şərait yaradır. Bunun səbəbi odur ki, sendMailFromScreen funksiyası çağırıcı tərəfindən təmin edilən həmin dəyərləri FlexibleStringExpander.expandString vasitəsilə ötürür; bu isə daxil edilmiş Groovy kodunu, GroovyUtil.eval-ın digər yerlərdə tətbiq etdiyi SecureASTCustomizer məhdudiyyətlərinin heç birini daşımayan sinif yükləyicisi (class loader) üzərində kompilyasiya edir və qiymətləndirir, həmçinin baza autentifikasiyasından başqa heç bir icazə yoxlaması elan etməyən servis və request-map arxasında yerləşir. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yeniləmək tövsiyə olunur.