Apache OFBiz 任意代码执行漏洞(CVE-2026-83542)通告【已复现】

新华三盾山实验室
新华三盾山实验室

新华三主动安全

2026年11月12日 20:03
湖南

去阅读

PART 01

漏洞综述

漏洞背景

Apache OFBiz 是 Apache 软件基金会开源的企业级 ERP 与电子商务平台，提供订单管理、客户关系管理、目录管理及在线店面等核心功能，广泛应用于在线商店和客户/合作伙伴门户系统。近日，新华三盾山实验室监测到 Apache OFBiz官方发布安全公告，修复了一个任意代码执行漏洞（CVE-2026-83542），其CVSS3漏洞评分为9.8。

漏洞详情

该漏洞源于 OFBiz 对代码生成控制不当（CWE-94）。远程未认证攻击者可通过multipart 上传暂存恶意 widget XML，并借助匿名 JSON 请求覆盖 manager 登录路由的 mainDecoratorLocation 参数，诱使 OFBiz 通过实时屏幕描述符机制加载该 XML，在渲染认证失败页面时求值未沙箱化的 Groovy 表达式，实现任意代码执行。由于漏洞影响范围较大，建议用户尽快更新至最新版本。

漏洞复现

PART 02

影响范围

Apache OFBiz < 24.09.08

PART 03

严重等级

PART 04

处置方法

官方补丁

官方已发布修复补丁，请更新至最新版本：https://ofbiz.apache.org/release-notes/24.09.08.html

缓解措施

1. 通过 VPN、IP 白名单或 WAF 限制互联网对 OFBiz 实例的访问，重点封禁 manager 应用路由及 /sfa/control/ 路径；
2. 阻止未认证访问 multipart 上传端点及/sfa/control/editPortalPageColumnWidth 路由；
3. 禁用或沙箱化实时屏幕描述符机制中的外部 Groovy 表达式求值。

新华三解决方案

1. 新华三安全设备防护方案
   新华三IPS规则库将在1.0.429版本支持对该漏洞的识别，新华三全系安全产品可通过升级IPS特征库识别该漏洞的攻击流量，并进行主动拦截。
2. 新华三态势感知解决方案
   新华三态势感知已支持该漏洞的检测，通过信息搜集整合、数据关联分析等综合研判手段，发现网络中遭受该漏洞攻击及失陷的资产。
3. 新华三云安全能力中心解决方案

新华三云安全能力中心知识库已更新该漏洞信息，可查询对应漏洞产生原理、升级补丁、修复措施等。

PART 05

参考链接

• https://lists.apache.org/thread.html/7b2syzksp7klt9fvhdg0olldvs2g83lz
• https://ofbiz.apache.org/security.html