CVE-2026-82912 in OFBiz
Resumen
por VulDB • 2026-11-05
La neutralización inadecuada de elementos especiales utilizados en una declaración del lenguaje de expresiones (inyección de lenguaje de expresiones) en EmailServices de Apache OFBiz 24.09 antes de la versión 24.09.08, en todas las plataformas, permite que un atacante remoto autenticado con solo los permisos de nivel de visualización OFBTOOLS_VIEW y ACCOUNTING_VIEW (los dos permisos necesarios para abrir la aplicación Contabilidad) ejecute comandos arbitrarios del sistema operativo como la cuenta que ejecuta OFBiz. Esto se logra enviando una expresión ${groovy:...} como el valor bodyText o subject en el formulario enviado de factura por correo electrónico, ya que sendMailFromScreen pasa esos valores proporcionados por el usuario a través de FlexibleStringExpander.expandString, lo cual compila y evalúa Groovy incrustado en un class loader que no aplica las restricciones SecureASTCustomizer que GroovyUtil.eval utiliza en otros contextos. Esta vulnerabilidad se encuentra detrás de un servicio y request-map que no declaran ninguna verificación de permisos más allá de la autenticación básica. Se recomienda a los usuarios actualizar a la versión 24.09.08, que corrige este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.