CVE-2023-49070
XML-RPC के अभी भी मौजूद होने के कारण Apache Ofbiz 18.12.09 में प्री-ऑथ RCE
- प्रकाशित
- 5 दिस॰ 2023
- अद्यतन
- 13 फ़र॰ 2025
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 7 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Ofbiz 18.12.09 में Pre-auth RCE। यह XML-RPC के अब अनुरक्षित न रहने के बावजूद अभी भी मौजूद होने के कारण है। यह समस्या Apache OFBiz को प्रभावित करती है: 18.12.10 से पहले। उपयोगकर्ताओं को संस्करण 18.12.10 में अपग्रेड करने की अनुशंसा की जाती है।
स्रोत
ofbiz/CVE-2023-49070
Unsafe deserialization of XMLRPC arguments in Apache OFBiz (CVE-2023-49070)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/ofbiz:18.12.09(ofbiz/CVE-2023-49070/docker-compose.yml:services.web.image)
modules/exploits/linux/http/apache_ofbiz_deserialization.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Linux,Unix($.exploit_linux/http/apache_ofbiz_deserialization.platform)
- verification: check_declared($.exploit_linux/http/apache_ofbiz_deserialization.check)
http/cves/2023/CVE-2023-49070.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
- CVE-2023-49070एक्सप्लॉइट
Apache Ofbiz में Pre-auth RCE का शोषण!!
यह एक्सप्लॉइट यह स्कैन करता है कि प्रदान किया गया लक्ष्य CVE-2023-49070/CVE-2023-51467 के प्रति संवेदनशील है या नहीं, तथा उपयोगकर्ता की पसंद के आधार पर इसका शोषण भी करता है।
- CVE-2023-49070_CVE-2023-51467एक्सप्लॉइट
CVE-2023-49070 और CVE-2023-51467 के लिए एक्सप्लॉइट और भेद्यता स्कैनर, जो Apache OFBiz भेद्यताओं का स्वचालित पता लगाने और शोषण सक्षम करता है।
Apache OFBiz CVE-2023-49070 के लिए प्री-ऑथ RCE प्रूफ-ऑफ-कॉन्सेप्ट, जो XML-RPC Java डिसीरियलाइज़ेशन का शोषण करके असुरक्षित संस्करणों पर रिमोट कोड निष्पादन प्राप्त करता है।
Apache OFBiz CVE-2023-49070 के लिए Python PoC: /webtools/control/xmlrpc पर auth-bypass तथा pre-auth deserialization RCE प्राप्त करने के लिए ysoserial gadget chain।
- OFBiz-Attackएक्सप्लॉइट
CVE-2023-49070/CVE-2023-51467 हमले के लिए एक उपकरण
- Apache-OFBiz-Authentication-Bypassएक्सप्लॉइट
यह रिपॉजिटरी Apache OFBiz में पाई गई CVE-2023-51467 और CVE-2023-49070 preauth RCE कमजोरियों का शोषण करने के लिए एक PoC है।
प्रमाणीकरण बाईपास भेद्यता Apache OFBiz < 18.12.10।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।