CVE-2024-38856 — Apache OFBiz (Documentation du dépôt)

Objet du dépôt : documentation informative à propos de CVE-2024-38856 (Apache OFBiz autorisation incorrecte / RCE sans authentification).
Ce dépôt ne contient pas de code d'exploitation armé. Il est destiné uniquement à la recherche défensive, aux conseils de correctifs, à la détection et aux tests en laboratoire sécurisés.

---

Vue d'ensemble

CVE-2024-38856 est une vulnérabilité d'autorisation incorrecte dans Apache OFBiz qui peut permettre un accès non authentifié à certains points de terminaison et, dans des conditions spécifiques, permettre l'exécution de code de rendu d'écran pouvant conduire à une exécution de code à distance sur les systèmes affectés. Le problème a été corrigé dans Apache OFBiz 18.12.15 ; les versions antérieures jusqu'à 18.12.14 sont affectées. :contentReference[oaicite:0]{index=0}

Gravité / Impact : plusieurs fournisseurs de sécurité et chercheurs ont évalué cette vulnérabilité comme critique — elle peut conduire à une exécution de code à distance non authentifiée sur des instances vulnérables, et a été observée dans des tentatives d'exploitation actives dans la nature. Les administrateurs doivent traiter les instances OFBiz exposées comme des éléments de correction hautement prioritaires. :contentReference[oaicite:1]{index=1}

---

Versions affectées

• Apache OFBiz : jusqu'à 18.12.14 (c'est-à-dire toutes les versions <= 18.12.14 sont considérées comme vulnérables). Le problème a été résolu dans 18.12.15. La mise à jour est recommandée. :contentReference[oaicite:2]{index=2}