CVE-2024-36104-PoC

CVE-2024-36104-PoC 针对 CVE-2024-36104 的概念验证，这是 Apache OFBiz 18.12.14 之前版本 中存在的一个未授权远程代码执行漏洞。 OFBiz 的 ControlServlet 在规范化请求路径之前先解析一个未授权视图（forgotPassword）。附加 /%2e/%2e/ 后，路径会折叠回 /webtools/control/，因此请求无需经过与原视图关联的安全/权限检查即可到达 ProgramExport 视图。随后 ProgramExport 会执行任意 Groovy 代码，从而实现未授权远程命令执行。 该脚本将命令封装在...