CVE-2021-26295

KritischVeröffentlicht

RCE-Sicherheitslücke in der neuesten Apache-OFBiz-Version durch Java-Serialisierung über RMI

Veröffentlicht: 22.03.2021
Aktualisiert: 13.02.2025
CNA zuweisen: apache
Beweise beobachtet: 24.08.2026

Primäres CVSS

9,8/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

97,8 %

Hoch · nächste 30 Tage

Perzentil: 99,9 %
Modelldatum: 18.10.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Apache OFBiz weist vor Version 17.12.06 eine unsichere Deserialisierung auf. Ein nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um Apache OFBiz erfolgreich zu übernehmen.

Quellen

Repository-Belege: Dateien: 2 · Repositories: 2

1 Modul1 Vorlage

Apache OFBiz SOAP Java DeserializationModul
modules/exploits/linux/http/apache_ofbiz_deserialization_soap.rb
Metasploit Framework modules
ExploitBeweise beobachtet: 26.09.2026Revision: 1e321cedaf4cZugehöriges Tool
Angegebene Bedingungen
- platform: Linux,Unix($.exploit_linux/http/apache_ofbiz_deserialization_soap.platform)
- verification: check_declared($.exploit_linux/http/apache_ofbiz_deserialization_soap.check)
Apache OFBiz <17.12.06 - Arbitrary Code ExecutionVorlage
http/cves/2021/CVE-2021-26295.yaml
Nuclei Templates
ErkennungBeweise beobachtet: 26.09.2026Revision: 008731b339bdZugehöriges Tool
Angegebene Bedingungen
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.