MAL-003: Обход безопасности Groovy и хранимый XSS в Apache OfBiz

В Apache OfBiz <= 18.12.05 были обнаружены Groovy RCE и XSS.

Почему нет CVE?

Apache OfBiz не присваивает CVE «атакам после аутентификации, совершаемым с использованием демонстрационных учётных данных, в частности с использованием пользователя admin», как указано на их странице безопасности.

Требования:

Эта уязвимость требует:

• Действительные учётные данные пользователя

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.