FICHE CVE

CVE-2016-4462

Publiée le 2017-08-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations d'Apache OFBiz sont affectées par une faille dans la manière dont le système gère certains paramètres d'URL. Un utilisateur authentifié peut injecter des directives malveillantes dans le moteur de modèles afin d'exécuter du code arbitraire sur le serveur. Cette opération peut être réalisée à distance via le réseau avec une faible complexité et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 3.08.8 ÉLEVÉE

Type de faiblesse

Validation des entrées insuffisante · CWE-20

Publiée2017-08-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

By manipulating the URL parameter externalLoginKey, a malicious, logged in user could pass valid Freemarker directives to the Template Engine that are reflected on the webpage; a specially crafted Freemarker template could be used for remote code execution. Mitigation: Upgrade to Apache OFBiz 16.11.01