漏洞通告|Apache OFBiz服务器端模板注入漏洞(CVE-2026-85627)

晟晖科技

2026年11月11日 08:30
江苏

去阅读

01

漏洞描述

Apache OFBiz是Apache软件基金会旗下的一个顶级开源项目，本质上是一套基于Java的企业资源规划（ERP）系统，也常被用作电子商务平台。

Apache OFBiz存在服务器端模板注入漏洞，该漏洞源于updateLayoutImage事件写入DataResource字段时缺乏权限检查，攻击者可将恶意资源重类型化为FTL模板，攻击者可利用该漏洞通过FreeMarker评估与Groovy执行任意操作系统命令。

02

影响产品

Apache Apache OFBiz <24.09.08

03

处置建议

目前厂商已发布升级程序修复该安全问题，详情见厂商官网:
https://lists.apache.org/thread.html/7b2syzksp7klt9fvhdg0olldvs2g83lz

信息来源：国家信息安全漏洞共享平台（CNVD），原文链接详见阅读原文。内容摘录自官方通告，信息以 CNVD、厂商最新公告为准，仅供风险预警。