willbesec

Apache OFBiz 24.09: injeção de código permite execução remota sem autenticação

O Apache OFBiz 24.09, antes da 24.09.08, tem uma injeção de código que permite a um atacante remoto sem autenticação executar código no servidor. Corrigido na 24.09.08. CVSS 9,8.

  • Identificador: CVE-2026-83542
  • Publicado em: 2026-11-05
  • Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 9.8 (CRITICAL)

Descrição (texto original em inglês):

Improper Control of Generation of Code ('Code Injection') in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to execute arbitrary code on the server. (texto reduzido: os pormenores técnicos da exploração não são reproduzidos)

  • Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
  • Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1059, Interpretador de comandos e scripts (Command and Scripting Interpreter)

Fontes

  1. Registo do CVE no NVDnvd.nist.gov
  2. Referência (lists.apache.org)lists.apache.org
  3. Técnica MITRE ATT&CK T1190attack.mitre.org
  4. Técnica MITRE ATT&CK T1059attack.mitre.org

Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.