CVE-2026-83542 Ejecución remota de código no autenticada por inyección de widgets en la página de login de Apache OFBiz
Un atacante remoto no autenticado puede ejecutar código arbitrario en el servidor colocando XML de widgets manipulado en una carga multipart y sobrescribiendo mainDecoratorLocation mediante una petición JSON anónima. OFBiz carga el XML a través de su mecanismo de descriptores de pantalla en vivo y evalúa una expresión Groovy sin sandbox al renderizar la página de fallo de autenticación. Se recomienda actualizar a la versión 24.09.08.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/111,1 % · percentil 65
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
Apache Software Foundation Apache OFBiz
hasta antes de 24.09.08
Qué hacer
- Verificá si usás Apache OFBiz y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 9.8 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
Improper Control of Generation of Code ('Code Injection') in Apache OFBiz 24.09 before 24.09.08 on all platforms allows a remote unauthenticated attacker to execute arbitrary code on the server by staging crafted widget XML in a multipart upload and overriding the mainDecoratorLocation used by a manager login route through an anonymous JSON request, causing OFBiz to load the staged XML through its live screen descriptor mechanism and evaluate an unsandboxed Groovy expression while rendering the authentication-failure page. Further validation established the following:
-- The exploit does not require a malformed or incomplete multipart body: a well-formed multipart request that is kept in flight and then allowed to complete normally is sufficient.
-- The screen loader reads the widget XML from a live process file descriptor while the upload is streaming, rather than from any file the attacker persists to disk.
-- The same underlying issue is also reachable through the public, explicitly unauthenticated /sfa/control/editPortalPageColumnWidth route, returning command output directly in an HTTP 200 response — it is not limited to the login-failure rendering path used in the original report.
Users are recommended to upgrade to version 24.09.08, which fixes this issue.
Referencias (1)
Historial (2)
- VULNERABILIDADNueva vulnerabilidad detectada.
- EXPLOIT PÚBLICOSe publicó foxcornlab/ofbiz-scanner.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.