CVE-2022-25813: Inyección de Plantillas del Lado del Servidor en FreeMarker en Apache OfBiz

Al insertar contenido malicioso en el campo "Subject" de un mensaje, un atacante puede realizar ataques SSTI (Server-Side Template Injection), que pueden aprovechar objetos expuestos de FreeMarker para eludir restricciones y obtener RCE (Remote Code Execution).

Nota: Aunque esta vulnerabilidad requiere la interacción de un usuario válido para desencadenar el SSTI, la carga maliciosa puede ser enviada por cualquier atacante no autenticado que cree una cuenta de comercio electrónico.

Divulgación del proveedor:

La divulgación y el parche del proveedor para esta vulnerabilidad se pueden encontrar aquí.

Requisitos:

Esta vulnerabilidad requiere:

• Registrar un nuevo usuario o tener credenciales de usuario válidas
• Interacción de un usuario administrativo

Prueba de concepto:

Más detalles y el proceso de explotación se pueden encontrar en este PDF.

Recursos adicionales: