| Title | Apache Software FoundationのApache OFBizにおけるテンプレートエンジンで使用される特殊な要素の不適切な無効化に関する脆弱性 |
|---|---|
| Summary | Apache OFBizにおけるテンプレートエンジンで使用される特殊要素の不適切な無害化の脆弱性です。この問題はApache OFBizの24.09.06以前のバージョンに影響します。ユーザーには本問題が修正されたバージョン24.09.06へのアップグレードを推奨します。なお、更新バージョンでは、dataTemplateTypeId = "FTL"の「Data Resource」レコードはサポートされなくなりました。さらに、更新バージョンでは「Ecommerce Customer」セキュリティグループにコンテンツ管理の権限が含まれなくなりましたので、ユーザーは本番サイトからもこれらの権限を削除することが推奨されます。 |
| Possible impacts | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 19, 2026, midnight |
| Registration Date | May 21, 2026, 10:54 a.m. |
| Last Update | May 21, 2026, 10:54 a.m. |
| CVSS3.0 : 警告 | |
| Score | 6.5 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
| Apache Software Foundation |
| Apache OFBiz 24.09.06 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月21日] 掲載 |
May 21, 2026, 10:54 a.m. |
| Summary | Improper Neutralization of Special Elements Used in a Template Engine vulnerability in Apache OFBiz. This issue affects Apache OFBiz: before 24.09.06. Users are recommended to upgrade to version 24.09.06, which fixes the issue. Please note that in the updated version, "Data Resource" records with dataTemplateTypeId = "FTL" are no longer supported. Additionally, in the updated version, the "Ecommerce Customer" security group no longer includes content management grants. Users are advised to remove these permissions from any production site as well. |
|---|---|
| Publication Date | May 19, 2026, 7:16 p.m. |
| Registration Date | May 20, 2026, 4:11 a.m. |
| Last Update | May 20, 2026, 1:37 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:apache:ofbiz:*:*:*:*:*:*:*:* | 24.09.06 | ||||