Apache OFBiz cross-site scripting és beágyazott kifejezés kiértékelési sérülékenységek

2013. július 22. 13:55

CH azonosító

CH-9556

Angol cím

Apache OFBiz Cross-Site Scripting and Nested Expression Evaluation Vulnerabilities

Felfedezés dátuma

2013.07.21.

Súlyosság

Közepes

Érintett rendszerek

Apache Software Foundation
OFBiz

Érintett verziók

Apache OFBiz 10.x
Apache OFBiz 11.x
Apache OFBiz 12.x

Összefoglaló

Az Apache OFBiz két sérülékenysége vált ismertté, amelyeket kihasználva a támadók cross-site scripting (XSS/CSS) támadásokat hajthatnak végre és megkerülhetnek bizonyos biztonsági korlátozásokat.

Leírás

A Webtools „View Log” screen-nek átadott bizonyos nem részletezett bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára visszaadásra kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatban.
Egy beágyazott kifejezések kiértékelése közben jelentkező hiba kihasználható tetszőleges UEL (Unified Expression Language) függvény futtatására.

A sérülékenységek a 10.04.01 – 10.04.05, 11.04.01 – 11.04.02, és 12.04.01 verziókat érintik.

Legfrissebb sérülékenységek

CVE-2024-53104 – Linux Kernel sérülékenysége

CVE-2025-24993 – Microsoft Windows NTFS Heap-Based Buffer Overflow sebezhetősége

CVE-2025-24991 – Microsoft Windows NTFS Out-Of-Bounds Read sebezhetősége

CVE-2025-24985 – Microsoft Windows Fast FAT File System Driver Integer Overflow sebezhetősége

CVE-2025-24984 – Microsoft Windows NTFS Information Disclosure sebezhetősége

CVE-2025-24983 – Microsoft Windows Win32k Use-After-Free sebezhetősége

CVE-2025-26633 – Microsoft Windows Management Console (MMC) Improper Neutralization sebezhetősége

CVE-2025-27363 – FreeType srülékenysége

CVE-2025-24201 – Apple WebKit sérülékenysége

CVE-2024-13161 – Ivanti Endpoint Manager (EPM) Absolute Path Traversal sebezhetősége

Tovább a sérülékenységekhez »

Apache OFBiz cross-site scripting és beágyazott kifejezés kiértékelési sérülékenységek