CVE-2025-26865: Injeção de Template do Lado do Servidor do FreeMarker via o plugin "ecommerce" no Apache OfBiz

Devido a uma regressão entre 18.12.17 e 18.12.18, a correção para a descoberta CVE-2022-25813: Injeção de Template do Lado do Servidor do FreeMarker no Apache OfBiz deixou de ser aplicada, o que reabriu a possibilidade de lançar ataques de Injeção de Template do Lado do Servidor (SSTI) do FreeMarker ao aproveitar o plugin "ecommerce".

Se o ataque for bem-sucedido, a SSTI pode resultar em Execução Remota de Código (RCE).

Divulgação do Fornecedor:

A divulgação e a correção do fornecedor para esta vulnerabilidade podem ser encontradas aqui.

Requisitos:

Esta vulnerabilidade requer:

• Registrar um novo usuário ou credenciais de usuário válidas
• Interação de um usuário administrativo

Prova de Conceito:

Como este ataque é uma recriação exata do CVE-2022-25813, mais detalhes e o processo de exploração podem ser encontrados neste PDF.

Recursos Adicionais:

Descoberta original de SSTI no Apache OfBiz: CVE-2022-25813: Injeção de Template do Lado do Servidor do FreeMarker no Apache OfBiz