CVE-2018-17200 in OFBiz

Tóm tắt

Bởi VulDB • 22/06/2026

Công cụ HTTP của Apache OFBiz (org.apache.ofbiz.service.engine.HttpEngine.java) xử lý các yêu cầu đối với các dịch vụ HTTP thông qua điểm cuối /webtools/control/httpService. Dịch vụ này nhận tham số `serviceContent` trong yêu cầu và giải tuần tự hóa (deserialize) nó bằng cách sử dụng XStream. Phiên bản `XStream` này được bảo vệ ở mức độ nhất định bằng cách vô hiệu hóa việc tạo `ProcessBuilder`. Tuy nhiên, cơ chế bảo vệ này có thể dễ dàng bị vượt qua (và theo nhiều cách khác nhau). Biện pháp khắc phục: Nâng cấp lên phiên bản 16.11.06 hoặc áp dụng thủ công các commit sau trên nhánh 16 r1850017+1850019

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• Đặt trước: 19/09/2018
• Kiểm duyệt: được chấp nhận
• mục: VDB-141646
• CPE: sẵn sàng
• CWE: CWE-20 (Đã xác nhận)
• CVSS: 9.8 (NVD)
• EPSS: 0.05027
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2018-17200
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2018-17200
• CVE Details: https://www.cvedetails.com/cve/CVE-2018-17200/