Apache OFBiz服务端模板注入漏洞(CVE-2025-26865)

漏洞描述:

Aрасhе OFBiz存在服务器端模板注入漏洞,攻击者可利用该漏洞,通过精心构造的输入注入恶意模板代码,从而在服务器端执行任意代码,可能导致敏感信息泄露、数据篡改或系统完全被控制。

攻击场景:

攻击者可能通过精心构造的输入注入恶意模板代码,执行任意代码,可能导致敏感信息泄露、数据篡改或系统完全被控制。

影响产品:

18.12.17 < Apache OFBiz < 18.12.18 

修复建议:

用户应尽快升级至 Aрасhе OFBiz 18.1218,该版本已修复该漏洞。升级前,请备份相关数据,按照官方文档进行操作。

https://ofbiz.apache.org/download.html 

补丁名称:

Aрасｈе OFBiz 服务端模板注入漏洞补丁—更新至最新版本18.12．17

公告链接:

https://ofbiz.apache.org/security.html

文件链接:

https://github.com/apache/ofbiz-framework/releases/tag/release18.12.17 

缓解方案:

1.在未升级至修复版本之前,建议限制网络访问,仅允许可信用户访问。

2.定期监控系统日志,以便及时发现异常行为。

3.对输入数据进行严格的验证和过滤,避免恶意数据注入。

参考链接:

https://lists.apache.org/thread/prb48ztk01bflyyjbl6p56wlcc1n5sz7 

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Apache OFBiz服务端模板注入漏洞(CVE-2025-26865)