漏洞预警 | Apache OFBiz 服务端模板注入漏洞（CVE-2025-26865）

最新推荐文章于 2025-10-21 17:24:26 发布
原创 最新推荐文章于 2025-10-21 17:24:26 发布 · 661 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#apache

1漏洞概述

漏洞类型

模板注入漏洞

漏洞等级

高危

漏洞编号

CVE-2025-26865

漏洞评分

无

利用复杂度

低

影响版本

18.12.17 < Apache OFBiz < 18.12.18

利用方式
最低0.47元/天 解锁文章
盛邦安全
关注
Apache OFBiz 未授权远程代码执行漏洞（CVE-2024-45195）
iSee857的博客
09-08 1383
Apache OFBiz是⼀个著名的电⼦商务平台，提供了创建基于最新 J2EE/ XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应⽤服务器的多层、分布式电⼦商务类WEB应⽤系统的框架。Apache OFBiz 18.12.16 之前版本中，由于Web 应用程序中缺少视图授权检查，未经身份验证的远程威胁者可构造恶意请求写入恶意文件导致远程代码执行，从而获取服务器权限。在服务器上启动一个python http服务用以 请求发送。服务器上启的http服务收到访问链接。访问下列接口进行RCE验证。
Apache-OFBiz授权不当导致RCE (CVE-2024-38856)
iSee857的博客
09-05 727
Apache OFBiz 18.12.14之前版本存在命令执行漏洞，该漏洞源于ControlServlet和RequestHandler函数，在处理请求中存在授权错误，导致未经身份验证的远程攻击者通过构造特殊URL来覆盖最终的渲染视图，从而执行任意代码。开启nc监听 进行远程连接。注意这里要进行双重编码，base64+unicode。升级至18.12.14以上版本。
Apache OfBiz 反序列化命令执行漏洞（CVE-2020-9496）漏洞
weixin_48413667的博客
09-10 1261
一、软件介绍 Apache OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套的开发基于Java的web应用程序的组件和工具。包括实体引擎, 服务引擎, 消息引擎, 工作流引擎, 规则引擎等。 二、漏洞描述 Apache OFBiz在17.12.04版本之前的XMLRPC接口存在一处反序列化漏洞，
Apache OFBiz路径遍历漏洞（CVE-2024-36104）
最新发布
kuaindl的博客
10-21 399
Apache OFBiz存在路径遍历漏洞，影响18.12.14之前版本。攻击者可构造恶意请求绕过验证，通过/webtools/control/ProgramExport接口执行任意Groovy代码获取系统权限。复现过程显示，修改数据包加入Unicode编码的POC即可远程执行命令。建议用户升级至18.12.14或更高版本，并限制网络访问权限。该漏洞危害严重，需及时修复。
Apache OFBiz路径遍历漏洞(CVE-2024-36104)
WuYSec的博客
06-05 1055
Apache OFBiz 18.12.14之前版本存在命令执行漏洞 ，该漏洞源于ControlFilter对路径限制不当导致用户能够访问ProgramExport导出功能执行Groovy代码。Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。无垠Sec专注安全研究，包括但不限于代码审计、漏洞挖掘、思路分享等。目前仅需50，你就能得到常见系统1day漏洞POC、代码审计、漏洞分析、漏洞挖掘等。
Apache OFBiz 10.04.05 发布，安全漏洞修复
weixin_33957648的博客
01-21 124
"Apache OFBiz 10.04.05" 是一个 bugfix 版本，建议升级，因为该版本修复了安全漏洞 (CVE-2013-0177) OFBiz 是开放的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务 器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套...
漏洞预警 - Linux DirtyPipe权限提升漏洞 CVE-2022-0847
kukudeshuo的博客
03-08 879
漏洞预警 - Linux DirtyPipe权限提升漏洞 CVE-2022-0847 漏洞描述 CVE-2022-0847-DirtyPipe-Exploit CVE-2022-0847 是存在于 Linux内核 5.8 及之后版本中的本地提权漏洞。攻击者通过利用此漏洞，可覆盖重写任意可读文件中的数据，从而可将普通权限的用户提升到特权 root。CVE-2022-0847 的漏洞原理类似于 CVE-2016-5195 脏牛漏洞（Dirty Cow），但它更容易被利用。漏洞作者将此漏洞命名为“Dirty Pi
Apache OFBiz SSRF漏洞CVE-2024-45507分析
INSBUG的博客
09-27 1189
由于Apache OFBiz在从Groovy加载文件时未对用户提交的数据进行过滤，未经身份验证的恶意攻击者通过服务器端请求伪造的方式向任意系统发起请求，加载远程恶意xml执行任意代码，从而获取目标服务器的控制权限，具体来说，攻击者可以构造一个恶意的 XML 文件，并通过 SSRF 攻击让 Apache OFBiz 的服务器加载并执行这个文件中的 Groovy 脚本。接收的URL将被视作一个模型屏幕（modelScreen）并进行解析，参照可以根据代码中的示例来构建一个概念验证包含命令的XML文件。
Goby漏洞发布 | CVE-2024-38856 Apache OFbiz /ProgramExport 命令执行漏洞【已复现】
m0_46699477的博客
08-06 657
CVE-2024-38856，Apache OFBiz在处理view视图渲染的时候存在逻辑缺陷，攻击者可通过构造特殊URL来覆盖最终的渲染视图，从而执行任意代码。
Apache OFBiz远程代码执行漏洞（CVE-2023-51467）
Keepb1ue的博客
12-28 1199
该系统的身份验证机制存在缺陷，可能允许未授权用户通过绕过标准登录流程来获取后台访问权限。此外，在处理特定数据输入时，存在漏洞可能导致不安全的代码执行，增加了系统安全性的风险。未授权访问和潜在的远程代码执行：此漏洞可能允许攻击者绕过安全限制，实现未授权访问和远程代码执行，严重时可能导致数据泄露、系统控制权被夺取。Apache官方已发布安全更新
速修复！开源企业自动化软件 Apache OFBiz 出现严重的 RCE 漏洞
smellycat000的专栏
03-23 242
聚焦源代码安全，网罗国内外最新资讯！编译：奇安信代码卫士团队上周五，Apache Software 基金会修复了 Apache OFBiz 中的一个高危漏洞，本可导致未认证攻击者远程控制...
Apache ofbiz RMI远程代码执行漏洞复现(CVE-2021-26295)
小小猪的博客
12-18 2104
Apache ofbiz RMI远程代码执行漏洞复现(CVE-2021-26295) 介绍： OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套的开发基于Java的web应用程序的组件和工具。包括实体引擎, 服务引擎, 消息引擎, 工作流引擎, 规则引擎等,OFBiz 已经正式成为 Apache 的
2023年度漏洞预警
qq_21193587的博客
08-15 1663
漏洞是硬件，软件，协议的具体实现或系统安全策略上存在的缺陷。从而可以使用攻击者能够在破坏系统。以下数据针对 23 年截至8月期间爆发的高危严重漏洞进行了数据统计和分析，具体的数据如下所示：3.10.0 <= Openfire <4.6.84.7.0 <= Openfire < 4.7.5畅捷通 T+ 13.0畅捷通 T+ 16.01.4.0 <= Nacos < 1.4.62.0.0 <= Nacos < 2.2.3GitLab CE 16.0.0GitLab EE 16.0.0Apache RocketM
漏洞情报 | Apache OFBiz 远程代码执行漏洞
爱国小白帽
03-22 659
0x01 漏洞描述 OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 近日，360漏洞云监测到Apache OFBiz官方披露了Apache OFBiz远程代码执行漏洞的安全通告，该漏洞出现在ofbiz/base/util/SafeObjectInputStream.java中，该功能为框架中的通用序列化处理类，未经身份验证的攻击者可构造恶意请求.
Apache Ofbiz XMLRPC RCE漏洞（CVE-2020-9496）复现
玄道的网安博客
12-26 1043
简介 OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套的开发基于Java的web应用程序的组件和工具。包括实体引擎, 服务引擎, 消息引擎, 工作流引擎, 规则引擎等。 影响版本 Apache Ofbiz：< 17.12.04 环境搭建 docker pull andy..
一款开源漏洞预警平台
pandazhengzheng的博客
02-21 1598
一款开源漏洞预警平台
CVE-2020-9496：Apache Ofbiz 反序列化漏洞分析
爱国小白帽
09-29 2483
原创 360CERT [三六零CERT](javascript:void(0)???? 今天 报告编号：B6-2020-092902 报告来源：360CERT 报告作者：360CERT 更新日期：2020-09-29 0x01 漏洞简述 2020年09月29日， 360CERT对Apache ofbiz组件的反序列化漏洞进行了分析，该漏洞编号为 CVE-2020-9496，漏洞等级：高危，漏洞评分：8.0。 Apache ofbiz 存在 反序列化漏洞，攻击者 通过 访问未授权接口，构造特定的xmlrpc
漏洞复现-Apache OFBiz 未授权远程代码执行漏洞 (CVE-2023-49070)
玄道的网安博客
08-11 779
Apache XML-RPC 是 XML-RPC 的 Java 实现，XML-RPC 是一种使用 XML over HTTP 来实现远程过程调用的协议。USERNAME=&PASSWORD=s&requirePasswordChange=Y绕过针对/control/xmlrpc的接口过滤限制（CVE-2020-9496），从而使用 Apache XMLRPC 客户端库的应用程序权限执行任意代码。所以，只要我们在发送XML-RPC请求的时候，将。这个补丁的作用是为XML-RPC的接口增加鉴权。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值