-
-
[原创]漏洞预警 | Apache OFBiz 服务端模板注入漏洞（CVE-2025-26865）
-
发表于: 2025-3-14 11:23
-
漏洞概述
近日，Apache OFBiz 发布更新修复 freemarker 模板注入漏洞（CVE-2025-26865）。为避免您的业务受影响，建议您及时开展安全风险自查。
Apache OFBiz 是一个 开源的企业资源规划（ERP）系统 ，由 Apache 软件基金会维护。它旨在帮助企业整合和管理核心业务流程，支持从供应链管理、财务管理到客户服务的全方位业务需求。
据描述，由于 Apache OFBiz 插件的特殊字段使用不当导致 freemarker 模板引擎注入，攻击者可以精心构造特殊请求，注入恶意的代码，导致任意代码执行，进而威胁整个服务器安全。
漏洞影响的产品和版本：
18.12.17 < Apache OFBiz < 18.12.18
资产测绘
据daydaymap数据显示互联网存在131305个资产，国内风险资产分布情况如下：
解决方案
1、临时缓解方案
① 限制网络访问，配置ip白名单，限制指定来源IP访问；
② 部署针对 Apache OFBiz 平台安全监控系统，确保及时检测响应异常行为。
2、升级修复方案，官方已发布漏洞修复补丁
建议更新时注意备份文件，更新地址：
参考链接
7f1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6M7%4y4#2k6i4y4Q4x3X3g2S2M7r3q4U0K9r3g2Q4x3X3g2G2M7X3N6Q4x3V1k6B7K9i4u0S2i4K6u0r3j5Y4u0G2N6%4y4W2i4K6u0r3e0@1k6n7d9g2A6Q4x3X3b7I4x3U0f1&6y4l9`.`.
03bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6M7%4y4#2k6i4y4Q4x3X3g2S2M7r3q4U0K9r3g2Q4x3X3g2G2M7X3N6Q4x3V1k6B7K9i4u0S2i4K6u0r3j5Y4u0G2N6%4y4W2i4K6u0r3e0@1k6n7d9g2A6Q4x3X3b7I4x3U0f1&6y4l9`.`.
|
|
|---|---|
