CVE-2024-32113-POC

Уязвимости Apache OfBiz POC для CVE-2024-32113 Параметры USERNAME и PASSWORD могут быть переданы через интерфейс /ecomseo/AnonContactus, который доступен публично для всех. POC1: RCE root@kitploit: curl --noproxy '' -k --location --request POST...

CVE-2024-32113

CVE-2024-32113 Пакетное сканирование Apache OFBIZ Внимание: Этот инструмент не предназначен для поддержки незаконных атак. Он предназначен только для технического обмена. Примечание: Этот инструмент не поддерживает незаконные атаки. Предназначен исключительно для технического обмена...

CVE-2020-9496

CVE-2020-9496 - RCE Поскольку 2 запроса, связанных с xmlrpc, в webtools xmlrpc и ping не используют аутентификацию, они уязвимы для небезопасной десериализации. Эта проблема была сообщена команде безопасности Альваро Муньосом [email protected] из команды GitHub Security Lab. Эта уязвимость...

Ofbiz-RCE

📌 Apache OFBiz RCE Exploit CVE-2024-38856 Этот скрипт на Python позволяет эксплуатировать уязвимость удаленного выполнения кода RCE в Apache OFBiz версии 18.12.15 через неавторизованный доступ к конечной точке /webtools/control/forgotPassword/ProgramExport. 🛠️ Описание CVE : CVE-2024-38856 Тип :...

apache-ofbiz-CVE-2020-9496

apache-ofbiz-CVE-2020-9496 유튜브 https://www.youtube.com/watch?v=DO93Xc8sGWg...

CVE-2024-36104

CVE-2024-36104 Заявление Данный инструмент предназначен только для личного изучения безопасности. Любые прямые или косвенные последствия и убытки, вызванные распространением или использованием данного инструмента, несет сам пользователь; автор инструмента не несет за это никакой ответственности...

CVE-2020-9496

CVE-2020-9496 Настройка уязвимого окружения root@kitploit: ▶ wget http://archive.apache.org/dist/ofbiz/apache-ofbiz-17.12.01.zip ▶ unzip apache-ofbiz-17.12.01.zip ▶ cd apache-ofbiz-17.12.01 ▶ sh gradle/init-gradle-wrapper.sh ▶ ./gradlew cleanAll loadDefault ▶ ./gradlew "ofbiz --load-data...

Apache-OFBiz-Authentication-Bypass

Apache OFBiz Уязвимость обхода аутентификации CVE-2023-51467 и CVE-2023-49070 Этот скрипт эксплойта и PoC написаны для углубленного анализа CVE на vsociety. Система планирования ресурсов предприятия ERP Apache OFBiz, универсальный веб-фреймворк на Java, широко используемый в различных отраслях,...

CVE-2022-29063

CVE-2022-29063: Десериализация Java через RMI-соединение в Apache OfBiz Плагин Solr в OfBiz по умолчанию настроен на автоматическое выполнение RMI-запроса на localhost, порт 1099. Разместив вредоносный RMI-сервер на localhost, злоумышленник может воспользоваться этим поведением при запуске сервер...

CVE-2022-25813

CVE-2022-25813: FreeMarker Server-Side Template Injection в Apache OfBiz Вставляя вредоносный контент в поле «Тема» сообщения, злоумышленник может выполнить атаки SSTI Server-Side Template Injection, которые могут использовать открытые объекты FreeMarker для обхода ограничений и получения RCE...

CVE-2020-9496

CVE-2020-9496 - RCE Поскольку два запроса, связанных с xmlrpc, в webtools xmlrpc и ping не используют аутентификацию, они уязвимы для небезопасной десериализации. Эта проблема была сообщена команде безопасности Альваро Муньосом [email protected] из команды GitHub Security Lab. Эта уязвимость...

Apache OFBiz 17.12.03 - Cross-Site Scripting

Apache OFBiz 17.12.03 contains cross-site scripting and unsafe deserialization vulnerabilities via an XML-RPC request. id: CVE-2020-9496 info: name: Apache OFBiz 17.12.03 - Cross-Site Scripting author: dwisiswant0 severity: medium description: Apache OFBiz 17.12.03 contains cross-site scripting a...

Apache OFBiz < 18.12.11 - Server Side Request Forgery

Arbitrary file properties reading vulnerability in Apache Software Foundation Apache OFBiz when user operates an uri call without authorizations. The same uri can be operated to realize a SSRF attack also without authorizations. Users are recommended to upgrade to version 18.12.11, which fixes th...

Apache OFBiz < 17.12.07 - Arbitrary Code Execution

Apache OFBiz has unsafe deserialization prior to 17.12.07 version An unauthenticated user can perform an RCE attack id: CVE-2021-29200 info: name: Apache OFBiz 17.12.07 - Arbitrary Code Execution author: your3cho severity: critical description: | Apache OFBiz has unsafe deserialization prior to...

Apache OFBiz < 18.12.10 - Arbitrary Code Execution

Pre-auth RCE in Apache Ofbiz 18.12.09. It's due to XML-RPC no longer maintained still present. This issue affects Apache OFBiz: before 18.12.10. id: CVE-2023-49070 info: name: Apache OFBiz 18.12.10 - Arbitrary Code Execution author: your3cho severity: critical description: | Pre-auth RCE in Apach...

Apache OFBiz < 18.12.11 - Remote Code Execution

The vulnerability allows attackers to bypass authentication to achieve a simple Server-Side Request Forgery SSRF id: CVE-2023-51467 info: name: Apache OFBiz 18.12.11 - Remote Code Execution author: your3cho severity: critical description: | The vulnerability allows attackers to bypass...

Apache OFBiz < 18.12.07 - Local File Inclusion

Arbitrary file reading vulnerability in Apache Software Foundation Apache OFBiz when using the Solr plugin. This is a pre-authentication attack. This issue affects Apache OFBiz: before 18.12.07. id: CVE-2022-47501 info: name: Apache OFBiz 18.12.07 - Local File Inclusion author: your3cho severity:...

Apache OFBiz - XML External Entity Injection

The /webtools/control/xmlrpc endpoint in OFBiz XML-RPC event handler is exposed to External Entity Injection by passing DOCTYPE declarations with executable payloads that discloses the contents of files in the filesystem. In addition, it can also be used to probe for open network ports, and figur...

Apache OFBiz - XML External Entity Injection

In Apache OFBiz 16.11.01 to 16.11.04, the OFBiz HTTP engine org.apache.ofbiz.service.engine.HttpEngine.java handles requests for HTTP services via the /webtools/control/httpService endpoint. Both POST and GET requests to the httpService endpoint may contain three parameters: serviceName,...

Apache OFBiz <17.12.07 - Arbitrary Code Execution

Apache OFBiz before 17.12.07 is susceptible to arbitrary code execution via unsafe deserialization. An attacker can modify deserialized data or code without using provided accessor functions. id: CVE-2021-30128 info: name: Apache OFBiz 17.12.07 - Arbitrary Code Execution author: For3stCo1d...