CVE-2026-82960

Apache OFBiz cms plagininin bütün platformlarda 24.09.08 versiyasından əvvəlki versiyalarında ModelFormField komponentində kodun generasiyasının yanlış idarə edilməsi ('Code Injection') boşluğu mövcuddur. Bu boşluq, yalnız CMS məzmun redaktoru (content-editor) giriş hüququna malik uzaqdan autentifikasiya olunmuş hücumçuya, EditAddContent funksiyasına xüsusi hazırlanmış caContentIdTo parametrini göndərməklə tək bir HTTP POST sorğusu vasitəsilə OFBiz proses istifadəçisi kimi ixtiyari əməliyyat sistemi əmrlərini icra etməyə imkan verir. Buna səbəb odur ki, CMS ekranı həmin parametri yuxarı səviyyəli kontekst dəyişəninə kopyalayır, o isə forma sahəsinin use-when atributuna interpolasiya edilir və nəticədən alınan sətir təsdiqlənmədən GroovyUtil.eval() funksiyasına ötürülür. Həmin funksiyanın compile-time SecureASTCustomizer qumcuğu (sandbox) runtime refleksiyasını məhdudlaşdırmadığı üçün genişləndirilmiş sətir literalını bağlayan və refleksiya vasitəsilə java.lang.Runtime funksiyasını çağıran faylların (payload) icrasına şərait yaradır. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yeniləməklə tövsiyə olunur.