加载CVE情报

CVE-2024-38856

严重已发布

Apache OFBiz：未认证端点可能允许执行屏幕渲染代码

已发布: 2024年8月5日
已更新: 2025年10月21日
分配 CNA: apache
观察到的证据: 2024年8月27日

初级CVSS

9.8/ 10严重

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS概率估计

99.4%

高 · 未来 30 天

百分位: 99.9%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

CISA 已知被利用

此 CVE 出现在 CISA 已知利用的漏洞目录中。

总结

Apache OFBiz 中的授权不正确漏洞。此问题影响 Apache OFBiz：直至 18.12.14 版本。建议用户升级至修复了该问题的 18.12.15 版本。在满足某些前提条件的情况下（例如，当屏幕定义未显式检查用户权限，因为它们依赖其端点的配置时），未经身份验证的端点可能允许执行屏幕渲染代码。