Apache OFBiz 服务端模板注入漏洞(CVE-2025-26865)安全风险通告

奇安信 CERT 2025-03-10 14:52

● 
点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Apache OFBiz 服务端模板注入漏洞
漏洞编号	QVD-2025-10061,CVE-2025-26865
公开时间	2025-03-07	影响量级	万级
奇安信评级	高危	CVSS 3.1分数	9.8
威胁类型	代码执行	利用可能性	高
POC状态	未公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	未公开
危害描述：攻击者可利用该漏洞在服务器端执行任意代码，可能导致敏感信息泄露、数据篡改或系统完全被控制。

01

漏洞详情

>
>
>
>

影响组件

Apache OFBiz是一个著名的电子商务平台，提供了创建基于最新 J2EE/ XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。

>
>
>
>

漏洞描述

近日，奇安信CERT监测到官方修复Apache OFBiz 服务端模板注入漏洞(CVE-2025-26865)，Apache OFBiz 存在服务器端模板注入漏洞。攻击者可利用该漏洞，通过精心构造的输入注入恶意模板代码，从而在服务器端执行任意代码，可能导致敏感信息泄露、数据篡改或系统完全被控制。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。
鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

---

02

影响范围

>
>
>
>

影响版本

18.12.17 < Apache OFBiz < 18.12.18

>
>
>
>

其他受影响组件

无

03

处置建议

>
>
>
>

安全更新

用户应尽快升级至 Apache OFBiz 18.12.18 ，该版本已修复该漏洞。升级前，请备份相关数据，按照官方文档进行操作。

官方补丁下载地址：

https://ofbiz.apache.org/download.html

修复缓解措施：

1.在未升级至修复版本之前，建议限制网络访问，仅允许可信用户访问。

2.定期监控系统日志，以便及时发现异常行为。

3.对输入数据进行严格的验证和过滤，避免恶意数据注入。

04

参考资料

[1]https://seclists.org/oss-sec/2025/q1/189

[2]https://issues.apache.org/jira/browse/OFBIZ-12594

05

时间线

2025年3月10日，奇安信 CERT发布安全风险通告。

06

漏洞情报服务

奇安信ALPH
A威胁分析平台已支持漏洞情报订阅服务：

奇安信 CERT

致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。

点击↓阅读原文，到ALPHA威胁分析平台
订阅更多漏洞信息。