CVE-2026-82912 in OFBiz
الملخص
بحسب VulDB • 05/11/2026
إجراء غير صحيح لتحييد العناصر الخاصة المستخدمة في عبارة لغة التعبير ('حقن لغة التعبير') في EmailServices ضمن Apache OFBiz الإصدار 24.09 قبل 24.09.08 على جميع المنصات، مما يتيح لمهاجم عن بُعد موثّق يمتلك فقط صفتي OFBTOOLS_VIEW وACCOUNTING_VIEW (وهما الصفتان بمستوى العرض اللتان تفتحان تطبيق المحاسبة) تنفيذ أوامر نظام تشغيل تعسفية بصفة الحساب الذي يشغّل OFBiz، وذلك بتقديم عبارة ${groovy:...} كقيمة لـ bodyText أو subject إلى نموذج الفاتورة المرفق "Send Per Email"، لأن sendMailFromScreen يمرّر تلك القيم التي يقدّمها المستخدم عبر FlexibleStringExpander.expandString، والتي تقوم بترجمة وتقييم Groovy مدمج في حمّالة فئات (class loader) لا تحمل أيًا من قيود SecureASTCustomizer التي يطبّقها GroovyUtil.eval في أماكن أخرى، خلف خدمة وrequest-map لا يعلنان عن أي فحص للصلاحيات يتجاوز المصادقة الأساسية. يُنصح المستخدمون بالترقية إلى الإصدار 24.09.08 الذي يصلح هذه المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.