MAL-003: Apache OfBiz における Groovy セキュリティバイパスおよび保存型 XSS

Apache OfBiz <= 18.12.05 において、Groovy RCE および XSS が確認されました。

なぜ CVE が発行されないのか?

Apache OfBiz は、セキュリティページ に記載のとおり、「デモ用の認証情報（特に admin ユーザー）を使用して行われる認証後攻撃」に対して CVE を発行しません。

要件:

この脆弱性には次が必要です:

• 有効なユーザー認証情報

概念実証 (PoC):

詳細と悪用手順は、この PDF で確認できます。