CVE-2026-82960

Apache OFBiz cms eklentisinin 24.09.08 öncesindeki sürümlerinde, tüm platformlarda ModelFormField bileşenindeki Kod Üretiminin Uygunsuz Kontrolü ('Kod Enjeksiyonu'), yalnızca CMS içerik düzenleyici erişimine sahip uzaktan kimliği doğrulanmış bir saldırganın, EditAddContent'e özel olarak hazırlanmış bir caContentIdTo parametresi göndererek tek bir HTTP POST isteği aracılığıyla OFBiz işlem kullanıcısı olarak keyfi işletim sistemi komutları çalıştırmasına olanak tanır; çünkü CMS ekranı bu parametreyi, bir form alanının use-when özniteliğine eklenen üst düzey bir bağlam değişkenine kopyalar ve sonuçta oluşan dize, derleme zamanındaki SecureASTCustomizer kum havuzu çalışma zamanı yansımasını (reflection) kısıtlamayan GroovyUtil.eval() fonksiyonuna doğrulanmadan iletilir; bu durum, genişletilmiş dize sabitini kapatan ve yansıma yoluyla java.lang.Runtime'ı çağıran bir yükün çalıştırılmasına izin verir. Kullanıcıların bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.