| タイトル | Apache Software FoundationのApache OFBizにおけるテンプレートエンジンで使用される特殊な要素の不適切な無効化に関する脆弱性 |
|---|---|
| 概要 | Apache OFBizにおけるテンプレートエンジンで使用される特殊要素の不適切な無害化の脆弱性です。この問題はApache OFBizの24.09.06以前のバージョンに影響します。ユーザーには本問題が修正されたバージョン24.09.06へのアップグレードを推奨します。なお、更新バージョンでは、dataTemplateTypeId = "FTL"の「Data Resource」レコードはサポートされなくなりました。さらに、更新バージョンでは「Ecommerce Customer」セキュリティグループにコンテンツ管理の権限が含まれなくなりましたので、ユーザーは本番サイトからもこれらの権限を削除することが推奨されます。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月19日0:00 |
| 登録日 | 2026年5月21日10:54 |
| 最終更新日 | 2026年5月21日10:54 |
| CVSS3.0 : 警告 | |
| スコア | 6.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
| Apache Software Foundation |
| Apache OFBiz 24.09.06 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月21日] 掲載 |
2026年5月21日10:54 |
| 概要 | Improper Neutralization of Special Elements Used in a Template Engine vulnerability in Apache OFBiz. This issue affects Apache OFBiz: before 24.09.06. Users are recommended to upgrade to version 24.09.06, which fixes the issue. Please note that in the updated version, "Data Resource" records with dataTemplateTypeId = "FTL" are no longer supported. Additionally, in the updated version, the "Ecommerce Customer" security group no longer includes content management grants. Users are advised to remove these permissions from any production site as well. |
|---|---|
| 公表日 | 2026年5月19日19:16 |
| 登録日 | 2026年5月20日4:11 |
| 最終更新日 | 2026年5月20日1:37 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:apache:ofbiz:*:*:*:*:*:*:*:* | 24.09.06 | ||||