Apache - CVE-2026-83542
Date de publication :
Il s’agit d’une vulnérabilité dans le mécanisme de descripteurs d’écran d’Apache OFBiz, au niveau de la page de connexion.
Apache OFBiz est une suite libre de gestion d’entreprise (ERP) et de commerce électronique.
Un attaquant non authentifié dépose un XML de widget forgé sur le serveur par une requête multipart. Une requête JSON anonyme surcharge ensuite le paramètre mainDecoratorLocation d’une route de connexion du manager. OFBiz charge alors le XML déposé et évalue une expression Groovy non sandboxée pendant l’affichage de la page d’échec d’authentification.
Elle permet une exécution de code arbitraire à distance sans authentification.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-94 : Improper Control of Generation of Code
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Apache OFBiz versions antérieures à 24.09.08 (branche 24.09)
- Branche 18.12 : fin de vie