CVE-2026-83542

Apache OFBiz'in 24.09.08 öncesindeki 24.09 sürümlerinde tüm platformlarda bulunan Kod Üretiminin Uygunsuz Kontrolü ('Kod Enjeksiyonu'), kimliği doğrulanmamış uzaktan bir saldırganın; özel olarak hazırlanmış bir widget XML dosyasını multipart yükleme ile hazırlayıp, anonim bir JSON isteği aracılığıyla yönetici giriş rotası tarafından kullanılan mainDecoratorLocation parametresini geçersiz kılarak sunucuda rastgele kod çalıştırmasına olanak tanır. Bu durum, OFBiz'in canlı ekran tanımlayıcı mekanizması üzerinden hazırlanan XML'i yüklemesine ve kimlik doğrulama hatası sayfası oluşturulurken kum havuzu dışı (unsandboxed) bir Groovy ifadesini değerlendirmesine neden olur. Yapılan ek doğrulamalarla şunlar tespit edilmiştir: -- İstismar için hatalı veya eksik bir multipart gövdesi gerekmez: Havada tutulan ve ardından normal şekilde tamamlanmasına izin verilen düzgün biçimlendirilmiş bir multipart isteği yeterlidir. -- Ekran yükleyici, widget XML'ini saldırganın diske kalıcı hale getirdiği herhangi bir dosyadan değil, yükleme akışı sırasında canlı bir işlem dosya tanımlayıcısından okur. -- Aynı temel sorun, komut çıktısını doğrudan bir HTTP 200 yanıtında döndüren halka açık ve açıkça kimlik doğrulaması gerektirmeyen /sfa/control/editPortalPageColumnWidth rotası üzerinden de erişilebilirdir; yalnızca orijinal raporda kullanılan giriş hatası oluşturma yoluyla sınırlı değildir. Kullanıcıların bu sorunu gideren 24.09.08 sürümüne yükseltmeleri önerilir.