一、 漏洞 CVE-2025-59118 基础信息

                                        # Apache OFBiz 任意文件上传命令执行漏洞

## 概述

Apache OFBiz 存在“未限制上传危险类型文件”漏洞。

## 影响版本

受影响版本：24.09.03 之前的所有版本。

## 细节

攻击者可利用该漏洞上传包含危险类型的文件（如可执行脚本），可能导致远程代码执行或服务器被控制。

## 影响

该漏洞允许攻击者在目标系统上执行任意代码，造成严重安全风险。建议用户尽快升级至 24.09.03 以修复漏洞。
                                        

二、漏洞 CVE-2025-59118 的公开POC

三、漏洞 CVE-2025-59118 的情报信息

• 标题： CVE-2025-59118: Apache OFBiz: Critical Remote Command Execution via Unrestricted File Upload-Apache Mail Archives -- 🔗来源链接

  标签：vendor-advisory

  神龙速读：

                                          **CVE-2025-59118: Apache OFBiz: Critical Remote Command Execution via Unrestricted File Upload**
  
  - **Severity:** Important
  - **Affected versions:**
    - Apache OFBiz before 24.09.03
  - **Description:**
    - Unrestricted Upload of File with Dangerous Type vulnerability in Apache OFBiz.
    - This issue affects Apache OFBiz before 24.09.03.
    - Users are recommended to upgrade to version 24.09.03, which fixes the issue.
  - **Credit:**
    - RedHive Team (security@hive.red) https://hive.red/en/ (finder)
  - **References:**
    - https://ofbiz.apache.org/download.html
    - https://ofbiz.apache.org/security.html
    - https://ofbiz.apache.org/release-notes-24.09.03.html
    - https://issues.apache.org/jira/browse/OFBIZ-13292
    - https://ofbiz.apache.org/
    - https://www.cve.org/CVERecord?id=CVE-2025-59118
                                          

  

• 标题： The Apache OFBiz® Project - Release Notes 24.09.03 -- 🔗来源链接

  标签：release-notes

  神龙速读：

                                          从这个网页截图中可以获取到以下关于漏洞的关键信息：
  
  - **漏洞编号**：
    - OFBIZ-13285: [SECURITY] Several CVEs in Apache Tomcat
    - OFBIZ-13310: [SECURITY] Several CVEs in Apache Tomcat
  
  - **漏洞描述**：
    - OFBIZ-13285 和 OFBIZ-13310 都与 Apache Tomcat 中的多个CVE（Common Vulnerabilities and Exposures）相关。
  
  - **发布时间**：
    - HTTP header隐藏，故意删除（这个是否跟漏洞有关？需要自行确认下）
  
  - **漏洞类型**：
    - 这些漏洞与安全性相关，标记为 [SECURITY]。
  
  - **修复信息**：
    - 这些漏洞在 Apache OFBiz 24.09.03 版本中已被修复，该版本发布于2025年11月，自2024年9月以来该系列版本只进行错误修复，不再添加新功能。
  
  以上是关于漏洞的关键信息，可以进一步查看Apache OFBiz的官方发布说明和安全公告以了解详细情况。
                                          

  

• 标题： The Apache OFBiz® Project - Downloads -- 🔗来源链接

  标签：mitigation

  神龙速读：

                                          从这个网页截图中，可以获取到以下关于漏洞的关键信息：
  
  1. **安全漏洞报告**：
     - Apache OFBiz社区强烈建议OFBiz用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
     - 建议用户在私密的安全邮件列表中报告安全问题，这些列表包括security@ofbiz.apache.org和security@apache.org。
  
  2. **安全漏洞报告方式**：
     - 建议用户在OFBiz的私密安全邮件列表中报告安全问题，而不是在公共论坛上披露多个漏洞。
  
  3. **安全漏洞报告的优先级**：
     - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  4. **安全漏洞报告的注意事项**：
     - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  5. **安全漏洞报告的注意事项**：
     - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  6. **安全漏洞报告的注意事项**：
     - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  7. **安全漏洞报告的注意事项**：
     - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  8. **安全漏洞报告的注意事项**：
     - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  9. **安全漏洞报告的注意事项**：
     - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  10. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  11. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  12. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  13. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  14. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  15. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  16. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  17. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  18. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  19. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  20. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  21. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  22. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  23. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  24. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  25. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  26. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  27. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  28. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  29. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  30. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  31. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  32. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  33. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  34. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  35. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  36. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  37. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  38. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  39. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  40. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  41. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  42. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  43. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  44. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  45. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  46. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  47. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  48. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  49. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  50. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  51. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  52. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛上披露多个漏洞，而是逐个报告。
  
  53. **安全漏洞报告的注意事项**：
      - 建议用户在报告安全问题时，不要在公共论坛
                                          

  

• 标题： [OFBIZ-13292] [CVE-2025-59118] Improve ImageManagementServices code - ASF Jira -- 🔗来源链接

  标签：issue-tracking

  神龙速读：

                                          ### 关键漏洞信息
  
  - **CVE编号**: CVE-2025-59118
  - **漏洞标题**: Improve ImageManagementServices code
  - **状态**: Closed (Resolved: Implemented)
  - **优先级**: Critical
  - **受影响版本**: 24.09.02
  - **修复版本**: 24.09.03
  - **组件**: product/catalog
  
  ### 描述
  - **描述**: 提升了在上传多张图片时的代码质量和日志信息。
  
  ### 修复活动
  - **提交1**: Commit a4a296a1534d02660e6b4d7f74a79f2c32758b51, 修复了ImageManagementServices代码，改善了上传多张图片时的代码质量和日志信息。
  - **提交2**: Commit 8b4f62242f8060a04a552d14056f314cf3e7cee, 修复了ImageManagementServices代码，改善了上传多张图片时的代码质量和日志信息。
  - **提交3**: Commit 69cf43d78defedb01b60a01c2f90cadd00211d18, 修复了ImageManagementServices代码，改善了上传多张图片时的代码质量和日志信息。
  
  ### 日期
  - **创建日期**: 2023-09-19 07:10
  - **更新日期**: 3天前 18:03
  - **解决日期**: 2023-09-24 07:33
                                          

  

• 标题： The Apache OFBiz® Project - Security -- 🔗来源链接

  标签：patch

  神龙速读：

                                          从这个网页截图中，可以获取到以下关于漏洞的关键信息：
  
  1. **报告漏洞的建议**：
     - 强烈建议OFBiz用户在公开论坛上披露安全问题之前，先报告给私有安全邮件列表（security@ofbiz.apache.org或security@apache.org）。
     - 避免在同一个报告中打包多个漏洞，而是分开报告。
  
  2. **不再创建CVE的政策**：
     - 对于使用演示凭证（如admin用户）进行的post-authN攻击，不再创建CVE。
     - 建议用户不要在生产环境中使用演示凭证，并警告用户关于保持OFBiz安全的wiki页面。
  
  3. **已知漏洞列表**：
     - 列出了多个已知漏洞的CVE编号、受影响的发布版本范围、修复版本以及修复的commit信息。
     - 漏洞编号从CVE-2010-0432到CVE-2024-38856。
  
  4. **术语解释**：
     - 解释了pre-authN和post-authN的区别。
     - 解释了authN和authZ的区别。
  
  这些信息帮助用户了解如何报告漏洞、OFBiz的安全政策以及已知的漏洞列表。
                                          

  
• https://nvd.nist.gov/vuln/detail/CVE-2025-59118

四、漏洞 CVE-2025-59118 的评论