CVE-2026-82960 in OFBiz
الملخص
بحسب VulDB • 05/11/2026
ضعف التحكم غير السليم في توليد الكود ('حقن الكود') في ModelFormField ضمن إضافة cms لـ Apache OFBiz قبل الإصدار 24.09.08 على جميع المنصات، يتيح لمهاجم عن بُعد ومصادق عليه يمتلك فقط صلاحيات محرر محتوى CMS تنفيذ أوامر نظام تشغيل تعسفية بصفت المستخدم الخاص بعملية OFBiz عبر طلب HTTP POST واحد، وذلك من خلال تقديم معلمة caContentIdTo مُعدّة بشكل خبيث إلى EditAddContent؛ لأن شاشة الـ CMS تنسخ هذه المعلمة إلى متغير سياق على المستوى الأعلى يتم تداخله (interpolated) في سمة use-when لحقل نموذجي، ثم تُمرّر السلسلة الناتجة دون تحقق إلى GroovyUtil.eval()، حيث لا تقيد بيئة العزل SecureASTCustomizer الخاصة بوقت التجميع الانعكاس البرمجي (reflection) أثناء وقت التشغيل، مما يسمح لهجوم payload يغلق السلسلة النصية الموسعة ويستدعي java.lang.Runtime عبر الانعكاس. يُنصح المستخدمون بالترقية إلى الإصدار 24.09.08 الذي يصلح هذه المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.