جزئیات آسیب‌پذیری

CVE-2024-38856

بهره‌برداری فعال

Apache OFBizApache Software Foundation Apache OFBiz

Apache OFBiz: Unauthenticated endpoint could allow execution of screen rendering code

CVSS 3.1

8.1بالا

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

Incorrect Authorization vulnerability in Apache OFBiz. This issue affects Apache OFBiz: through 18.12.14. Users are recommended to upgrade to version 18.12.15, which fixes the issue. Unauthenticated endpoints could allow execution of screen rendering code of screens if some preconditions are met (such as when the screen definitions don't explicitly check user's permissions because they rely on the configuration of their endpoints).

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.1بالا	3.1	CISA ADP / Vulnrichment (CISA-ADP)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Apache	OFBiz	v ≤ 18.12.14	CISA ADP / Vulnrichment
Apache Software Foundation	Apache OFBiz	v ≤ 18.12.14	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://ofbiz.apache.org/download.html productmitigation
https://ofbiz.apache.org/security.html related
https://lists.apache.org/thread/olxxjk6b13sl3wh9cmp0k2dscvp24l7w vendor-advisory
https://issues.apache.org/jira/browse/OFBIZ-13128 issue-tracking
http://www.openwall.com/lists/oss-security/2024/08/04/1
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-38856 government-resource

اطلاعات

تاریخ انتشار: ۱۴۰۳/۰۵/۱۵
آخرین به‌روزرسانی: ۱۴۰۴/۰۷/۳۰
وضعیت: PUBLISHED
صادرکننده (CNA): apache
اولویت کلون: به‌زودی

فهرست KEV آژانس CISA

تاریخ افزوده‌شدن: ۱۴۰۳/۰۶/۰۶
مهلت رفع: ۱۴۰۳/۰۶/۲۷
استفاده در باج‌افزار: نامشخص

پیش‌بینی بهره‌برداری (EPSS)

۹۹٫۴۲٪

احتمال بهره‌برداری در ۳۰ روز

۹۹٫۹٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable: yes
Exploitation: active
Technical Impact: total

ضعف‌ها (CWE)

CWE-863
Incorrect Authorization