Sécurité · 8 novembre 2026
Vulnérabilité RCE dans Apache OFBiz, correctif disponible
Une vulnérabilité critique a été identifiée dans le logiciel de gestion d'entreprise open source Apache OFBiz. L'équipe de développement a publié un correctif pour remédier à cette faille.
La fondation Apache a diffusé un avis de sécurité le 5 novembre 2026, mettant en lumière une vulnérabilité de type injection de code, référencée sous le numéro CVE-2026-83542, localisée dans le « widget de page de connexion ».
Cette vulnérabilité permet à un attaquant de télécharger un fichier XML malveillant, manipulant ainsi des configurations internes en spécifiant la disposition de l'écran à distance. Cela pourrait entraîner l'exécution de code non autorisé sur le serveur, car des expressions du langage de script « Groovy » contenues dans le XML peuvent être évaluées en dehors d'un environnement de sécurité.
Le scénario d'attaque ne nécessite pas de sauvegarde de fichiers sur le serveur, rendant l'exploitation possible durant le processus de transmission des données, notamment lors de la génération d'un écran d'échec d'authentification. D'autres méthodes d'exploitation en dehors du processus de connexion ont également été confirmées, permettant à l'attaquant de recevoir le résultat des commandes exécutées dans la réponse HTTP.
L'agence américaine pour la sécurité des infrastructures et de la cybersécurité (CISA) a attribué à cette vulnérabilité un score de base de 9,8 selon le système d'évaluation des vulnérabilités communes « CVSSv3.1 », la qualifiant de « critique » sur une échelle de quatre niveaux.
Le correctif a été intégré dans la version 24.09.08, qui s'attaque également à 45 autres vulnérabilités. Les détails des vulnérabilités corrigées dans cette version incluent des références telles que CVE-2026-66903 et CVE-2026-68524, parmi d'autres.