CVE-2026-83542: RCE critico in Apache OFBiz 24.09

Il CVE-2026-83542 descrive una vulnerabilità di code injection in Apache OFBiz versioni 24.09 precedenti alla 24.09.08. Un attacker remoto unauthenticato può sfruttare il meccanismo di widget XML multipart upload per sovrascrivere il parametro mainDecoratorLocation e forzare OFBiz a caricare XML malevolo. Durante il rendering della pagina di autenticazione fallita, il server valuta un'espressione Groovy unsandboxed, permettendo l'esecuzione remota di codice arbitrario. La vulnerabilità è raggiungibile anche tramite la rotta pubblica /sfa/control/editPortalPageColumnWidth.

Lo sfruttamento non richiede richieste malformate: una well-formed multipart request mantenuta in flight è sufficiente. Lo screen loader legge il widget XML dal live process file descriptor durante lo streaming, non da file persistenti su disco. Con CVSS 9,8 (critical), questa è tra le vulnerabilità più gravi: assenza di autenticazione, esecuzione remota di codice, facilità di sfruttamento. La patch è disponibile nella versione 24.09.08. Segnali sui social (4 post nelle ultime 24 ore) confermano l'interesse della comunità.

Per i difensori: aggiornare immediatamente Apache OFBiz alla versione 24.09.08. Se l'aggiornamento non è immediatamente possibile, isolare le istanze di OFBiz da internet o applicare web application firewall rules per bloccare accessi non autenticati al percorso /sfa/control/editPortalPageColumnWidth. Verificare nei log le evidenze di sfruttamento: multipart uploads malevoli e/o richieste JSON anonime dirette alle rotte di autenticazione. Monitorare il processo OFBiz per esecuzioni Groovy inaspettate.