CVE-2026-82912 in OFBiz
Сводка
по VulDB • 05.11.2026
Неправильная нейтрализация специальных элементов, используемых в операторе языка выражений (инъекция языка выражений) в EmailServices компонента Apache OFBiz версий до 24.09.08 на всех платформах позволяет удаленному аутентифицированному злоумышленнику, обладающему только правами уровня просмотра OFBTOOLS_VIEW и ACCOUNTING_VIEW (два разрешения уровня просмотра, открывающие приложение «Бухгалтерия»), выполнять произвольные команды операционной системы от имени учетной записи, под которой запущен OFBiz. Это достигается путем передачи выражения ${groovy:...} в качестве значений bodyText или subject для встроенной формы выставления счетов по электронной почте (Send Per Email invoice form), поскольку метод sendMailFromScreen передает эти значения, предоставленные вызывающей стороной, через FlexibleStringExpander.expandString, который компилирует и выполняет встроенный код Groovy с использованием загрузчика классов, не имеющего ограничений SecureASTCustomizer, применяемых в других местах через GroovyUtil.eval. Данный функционал скрыт за службой (service) и картой запросов (request-map), которые объявляют проверку прав только на базовую аутентификацию. Пользователям рекомендуется обновиться до версии 24.09.08, которая устраняет данную уязвимость.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.