CVE-2026-85627
Təsvir
Apache OFBiz 24.09 versiyasının 24.09.08-dən əvvəlki bütün platformalarda olan versiyalarında şablon mühərrikində istifadə olunan xüsusi elementlərin yanlış neytrallaşdırılması ('Server-Side Template Injection') boşluğu mövcuddur. Bu, yalnız standart qeyri-administrator hesabına malik uzaqdan autentifikasiya olunmuş hücumçunun `updateLayoutImage` hadisəsindən istifadə edərək OFBiz proses istifadəçisi kimi ixtiyari əməliyyat sistemi əmrlərini icra etməsinə imkan verir. Hücumçu heç bir icazə yoxlaması olmadan DataResource sahələrini yazan bu hadisədən istifadə edərək, özü tərəfindən yaradılmış DataResource-u öz ilkin açarını qiymətləndirən FTL şablonu kimi yenidən təyin edir və nəticədə alınan FreeMarker qiymətləndirməsindən istifadə edərək `use-when` atributu qum sandbox-suz Groovy işlədən OFBiz Form Widget yerləşdirir. İstifadəçilərə bu problemi aradan qaldıran 24.09.08 versiyasına yüksəltmə etmək tövsiyə olunur.
Necə düzəltmək olar
- Apache Software Foundation Apache OFBiz24.09.08 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Apache Software Foundation Apache OFBiz | v < 24.09.08 | 24.09.08 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.