Apache OFBiz 路径遍历漏洞 (CVE-2024-36104)

漏洞类型 路径遍历 发现时间 2024-06-03 漏洞等级 严重
MPS编号 MPS-xb5v-24ik CVE编号 CVE-2024-36104 漏洞影响广度

漏洞危害

OSCS 描述
Apache OFBiz是一个著名的电子商务平台,提供了创建基于最新J2EE/ XML规范和技术标准,构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。
Apache OFBiz 版本 18.12.14 之前版本中存在路径遍历漏洞,由于对HTTP请求URL中的特殊字符(如;、%2e)限制不当,威胁者可构造恶意请求利用该漏洞,成功利用可能导致远程代码执行。
参考链接:https://www.oscs1024.com/hd/MPS-xb5v-24ik

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
ofbiz (-∞, 18.12.14) 升级 将组件 ofbiz 升级至 18.12.14 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-xb5v-24ik

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-xb5v-24ik

https://github.com/apache/ofbiz-framework/commit/bc856f46f87435e986f98c75460a57c182e7e5d4

https://issues.apache.org/jira/browse/OFBIZ-13092

(0)
上一篇 2024年5月30日
下一篇 2024年6月4日

相关推荐

  • Dremio 存在路径遍历漏洞 (CVE-2024-23768)

    漏洞类型 路径遍历 发现时间 2024-01-22 漏洞等级 高危 MPS编号 MPS-joly-0sb2 CVE编号 CVE-2024-23768 漏洞影响广度 一般 漏洞危害 OSCS 描述 Dremio 是一种数据湖查询和分析引擎,它可以直接连接到各种数据源,包括Hadoop、NoSQL数据库和关系数据库。 受影响版本中,经过身份眼中的攻击者可绕过角色…

    2024年1月22日
    0
  • Atlassian Confluence 模板注入代码执行漏洞 (CVE-2023-22527)

    漏洞类型 表达式语言注入 发现时间 2024-01-16 漏洞等级 严重 MPS编号 MPS-2023-0028 CVE编号 CVE-2023-22527 漏洞影响广度 一般 漏洞危害 OSCS 描述 Confluence 是由Atlassian公司开发的企业协作和文档管理工具。 Atlassian Confluence Data Center/Server…

    2024年1月16日
    0
  • 腾讯QQ Windows版客户端1-click远程代码执行风险 (MPS-0z86-njh3) [有POC]

    漏洞类型 从非可信控制范围包含功能例程 发现时间 2023-08-21 漏洞等级 高危 MPS编号 MPS-0z86-njh3 CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 QQ 是一个多平台即时通信软件。QQ Windows版客户端 9.7.15之前版本中存在逻辑设计缺陷,当消息中包含引用的文件时,直接点击即完成下载和打开操作,缺…

    2023年8月22日
    0
  • Apache Dubbo 3.1.5 反序列化漏洞 (CVE-2023-46279)

    漏洞类型 反序列化 发现时间 2023-12-15 漏洞等级 严重 MPS编号 MPS-k3ml-xyci CVE编号 CVE-2023-46279 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Dubbo 是一款易用、高性能的 WEB 和 RPC 框架。 在3.1.5版本中,由于新增的SerializeSecurityManager类存在缺陷,…

    2023年12月18日
    0
  • WinRAR<6.23 远程代码执行漏洞【Poc公开】 (CVE-2023-38831)

    漏洞类型 代码注入 发现时间 2023-08-25 漏洞等级 高危 MPS编号 MPS-bw2s-d0rv CVE编号 CVE-2023-38831 漏洞影响广度 广 漏洞危害 OSCS 描述 WinRAR 是一款适用于 Windows 系统的压缩包管理器。WinRAR 6.2.3之前版本打开压缩文件时会调用 ShellExecute 函数匹配文件名,如果目…

    2023年8月26日
    0