CVE-2024-38856 — Apache OFBiz (Documentação do repositório)

Propósito do repositório: documentação informativa sobre a CVE-2024-38856 (autorização incorreta / RCE pré-autenticação no Apache OFBiz).
Este repositório não contém código de exploit armamentizado. Destina-se somente a pesquisa defensiva, orientações de correção (patching), detecção e testes seguros em laboratório.

---

Visão geral

A CVE-2024-38856 é uma vulnerabilidade de autorização incorreta no Apache OFBiz que pode permitir acesso não autenticado a determinados endpoints e, sob condições específicas, possibilitar a execução de código de renderização de telas, o que pode levar à execução remota de código nos sistemas afetados. O problema foi corrigido no Apache OFBiz 18.12.15; versões anteriores até 18.12.14 são afetadas. :contentReference[oaicite:0]{index=0}

Gravidade / Impacto: diversos fornecedores de segurança e pesquisadores classificaram esta vulnerabilidade como crítica — ela pode levar à execução remota de código sem autenticação em instâncias vulneráveis e já foi observada em tentativas ativas de exploração no ambiente real (in the wild). Os administradores devem tratar as instâncias OFBiz expostas como itens de remediação de alta prioridade. :contentReference[oaicite:1]{index=1}

---

Versões afetadas

• Apache OFBiz: até 18.12.14 (ou seja, todas as versões <= 18.12.14 são consideradas vulneráveis). O problema foi corrigido na versão 18.12.15. Recomenda-se a atualização. :contentReference[oaicite:2]{index=2}