CVE-2026-82912 in OFBiz
要約
〜によって VulDB • 2026年11月05日
Apache OFBizのEmailServicesにおける、式言語ステートメントで使用される特殊要素の不適切な中和（「Expression Language Injection」）により、OFBTOOLS_VIEWおよびACCOUNTING_VIEWという会計アプリケーションを開くための2つのビューレベル権限のみを持つリモートの認証済み攻撃者が、出荷済みのSend Per Email請求書フォームに${groovy:...}式をbodyTextまたはsubject値として送信することで、OFBizを実行しているアカウントの権限で任意のオペレーティングシステムコマンドを実行できます。これは、sendMailFromScreenがこれらの呼び出し元から提供された値をFlexibleStringExpander.expandStringに通し、GroovyUtil.evalが他の場所で適用するSecureASTCustomizerによる制限を持たないクラスローダー上で埋め込まれたGroovyをコンパイルして評価するためです。この処理は、基本認証以外の権限チェックを宣言しないサービスおよびrequest-mapの背後で行われます。ユーザーには、本問題を修正したバージョン24.09.08へのアップグレードが推奨されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.