CVE-2026-82912

Apache OFBiz 24.09'un 24.09.08 öncesindeki sürümlerinde tüm platformlarda bulunan EmailServices bileşenindeki bir ifade dili deyiminde kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesi ('Expression Language Injection'), yalnızca Muhasebe uygulamasını açan iki görüntüleme düzeyi izni olan OFBTOOLS_VIEW ve ACCOUNTING_VIEW izinlerine sahip uzaktan kimliği doğrulanmış bir saldırganın, beraberinde gelen 'Send Per Email' fatura formuna bodyText veya subject değeri olarak bir ${groovy:...} ifadesi göndererek, OFBiz'i çalıştıran hesap adına rastgele işletim sistemi komutları yürütmesine olanak tanır; çünkü sendMailFromScreen, çağrıcı tarafından sağlanan bu değerleri, GroovyUtil.eval'in başka yerlerde uyguladığı SecureASTCustomizer kısıtlamalarının hiçbirini taşımayan bir sınıf yükleyici üzerinde gömülü Groovy kodunu derleyen ve değerlendiren FlexibleStringExpander.expandString üzerinden geçirir ve bu işlem temel kimlik doğrulamanın ötesinde herhangi bir izin kontrolü beyan etmeyen bir servis ile request-map arkasında gerçekleşir. Kullanıcıların, bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.