Apache OFBiz 路径遍历漏洞 (CVE-2024-36104)

漏洞类型 路径遍历 发现时间 2024-06-03 漏洞等级 严重
MPS编号 MPS-xb5v-24ik CVE编号 CVE-2024-36104 漏洞影响广度

漏洞危害

OSCS 描述
Apache OFBiz是一个著名的电子商务平台,提供了创建基于最新J2EE/ XML规范和技术标准,构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。
Apache OFBiz 版本 18.12.14 之前版本中存在路径遍历漏洞,由于对HTTP请求URL中的特殊字符(如;、%2e)限制不当,威胁者可构造恶意请求利用该漏洞,成功利用可能导致远程代码执行。
参考链接:https://www.oscs1024.com/hd/MPS-xb5v-24ik

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
ofbiz (-∞, 18.12.14) 升级 将组件 ofbiz 升级至 18.12.14 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-xb5v-24ik

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-xb5v-24ik

https://github.com/apache/ofbiz-framework/commit/bc856f46f87435e986f98c75460a57c182e7e5d4

https://issues.apache.org/jira/browse/OFBIZ-13092

(0)
上一篇 2024年5月30日
下一篇 2024年6月4日

相关推荐

  • Apache Superset 授权检查错误漏洞 (CVE-2023-49734)

    漏洞类型 授权检查错误 发现时间 2023-12-19 漏洞等级 高危 MPS编号 MPS-i3j1-274p CVE编号 CVE-2023-49734 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个数据可视化和数据探索平台。 由于update_charts_owners方法的逻辑错误,拥有 Gamma 权限的用户可以创建…

    2023年12月21日
    0
  • Cacti<1.2.25 reports_user.php SQL注入漏洞 (CVE-2023-39358)

    漏洞类型 SQL注入 发现时间 2023-09-06 漏洞等级 严重 MPS编号 MPS-9wzi-k37j CVE编号 CVE-2023-39358 漏洞影响广度 小 漏洞危害 OSCS 描述 Cacti 是一个开源的操作监控和故障管理框架。 Cacti 1.2.25之前版本中由于 reports_user.php 中的 ajax_get_branches…

    2023年9月7日
    0
  • FFmpeg < n7.0 堆溢出漏洞 (CVE-2023-51794)

    漏洞类型 堆缓冲区溢出 发现时间 2024-04-28 漏洞等级 高危 MPS编号 MPS-akej-cx6f CVE编号 CVE-2023-51794 漏洞影响广度 一般 漏洞危害 OSCS 描述 FFmpeg 是开源的多媒体框架,支持音频和视频的录制、转换以及流处理,stereowiden filter是其中的音频过滤器,用于增强立体声音轨的空间感。 受…

    漏洞 2024年4月29日
    0
  • 瑞友天翼应用虚拟化系统<7.0.5.1远程代码执行漏洞 (MPS-q9y0-w78m)

    漏洞类型 代码注入 发现时间 2024-05-06 漏洞等级 严重 MPS编号 MPS-q9y0-w78m CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 瑞友天翼应用虚拟化系统是基于云计算技术的应用虚拟化解决方案,可以帮助用户实现应用的快速部署和管理。 受影响版本中由于SQL注入漏洞,默认未通过secure_file_priv配置限…

    漏洞 2024年5月8日
    0
  • Amazon Redshift JDBC Driver<2.1.0.28 SQL注入漏洞 (CVE-2024-32888)

    漏洞类型 SQL注入 发现时间 2024-05-15 漏洞等级 严重 MPS编号 MPS-yg3n-dx5h CVE编号 CVE-2024-32888 漏洞影响广度 漏洞危害 OSCS 描述 Amazon Redshift 的 JDBC 驱动程序是一个 Type 4 JDBC 驱动程序,通过 Java 平台企业版提供的标准 JDBC 应用程序接口(API)实…

    漏洞 2024年5月16日
    0