Apache OFBiz < 18.12.17 Groovy表达式注入漏洞

北京赛克艾威科技有限公司 2024-11-16

漏洞编号：CVE-2024-47208
漏洞等级：严重
漏洞标签：发布预警、公开漏洞
发布时间：2024-11-16

漏洞描述

Apache OFBiz 是开源企业资源规划（ERP）系统和电子商务框架。受影响版本中，OFBiz由于使用freemarker对url中的参数进行模板解析时限制不当，攻击者可能通过component://协议访问/webtools/control/ProgramExport等受限制接口，执行恶意groovy代码，获得系统权限。