本文使用的 Docker 镜像
发布日期： 2026 年 11 月 6 日
风险等级： 严重（Critical）起
漏洞编号： CVE-2026-83542 · CVE-2026-82907 · CVE-2026-82910 · CVE-2026-82912 · CVE-2026-82960 · CVE-2026-84183 · CVE-2026-71901 · CVE-2026-82904 · CVE-2026-82916
涉及镜像： ghcr.io/apache/ofbiz — GHCR
CVSS： CVE-2026-83542 / CVE-2026-82907 均为 9.8（Critical）；其余本批条目为 High（约 7.1–8.8）
披露时间： NVD 于 2026 年 11 月 5 日起收录；官方 Security 页写明 before 24.09.08 受影响
相关公告： OFBiz Security · NVD CVE-2026-83542 · NVD CVE-2026-82907
一、漏洞概述
| 编号 | 要点 | CVSS |
|---|---|---|
| CVE-2026-83542 | 未认证代码注入（widget / Screen 定义）→ RCE | 9.8 |
| CVE-2026-82907 | externalLoginKey 捕获重放 → 未认证管理员会话 | 9.8 |
| CVE-2026-82910 / 82912 / 82960 / 84183 | SSTI / EL 注入 / CMS 代码注入 / 布局授权错误 | 8.8 |
| CVE-2026-71901 | 资源标识符注入 | 8.1 |
| CVE-2026-82904 | 未认证请求线程钉死 DoS | 7.5 |
| CVE-2026-82916 | 低权限 XmlDsDump 越权 | 7.1 |
公网或半信任网络可达的 OFBiz 管理与电商入口面临未认证 RCE / 会话接管。
二、漏洞状态
统计截止： 2026 年 11 月 6 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（OFBiz Security、NVD） |
| 官方补丁 | ≥ 24.09.08 |
| 镜像标签 | GHCR 已有 24.09.08、24.09.08-plugins、24.09.08-preloaddemo |
| CISA KEV | 未列入 |
三、影响范围
低于 24.09.08 的 Apache OFBiz。官方以 GHCR 发布容器镜像 ghcr.io/apache/ofbiz。
四、修复建议
升到 ≥ 24.09.08（及对应 -plugins / -preloaddemo 变体）：
bashdocker pull ghcr.io/apache/ofbiz:24.09.08
bashdocker pull ghcr.io/apache/ofbiz:24.09.08-plugins
bashdocker pull ghcr.io/apache/ofbiz:24.09.08-preloaddemo
GHCR： apache/ofbiz
OFBiz Security： security.html
五、临时缓解措施
在升级之前：限制谁能触达 OFBiz 管理与电商入口；审查外网与半信任网络暴露。这不能代替 24.09.08。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 OFBiz 的版本修复。本条官方修复镜像在 GHCR，请从 ghcr.io/apache/ofbiz 拉取并固定 24.09.08（或对应变体标签）。
七、参考链接
- Apache OFBiz：Security
- NVD：CVE-2026-83542 · CVE-2026-82907
- GHCR：apache/ofbiz
阅读原文
轩辕镜像安全团队
2026 年 11 月 6 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。