Apache · OFBiz

CVE-2024-45195

Apache OFBiz: Confused controller-view authorization logic (forced browsing)

Explotada en ataques Crítica 9,8 Probabilidad de ataque: >99,9%

Qué es

Direct Request ('Forced Browsing') vulnerability in Apache OFBiz.

This issue affects Apache OFBiz: before 18.12.16.

Users are recommended to upgrade to version 18.12.16, which fixes the issue.

CISA: Apache OFBiz contains a forced browsing vulnerability that allows a remote attacker to obtain unauthorized access.

Qué hacer

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Plazo para las agencias federales de EE. UU.: 25 de febrero de 2025

Añadida a la lista de CISA: 4 de febrero de 2025
Publicada: 4 de septiembre de 2024
Gravedad: Crítica 9,8 CVSS 3.1
Probabilidad de ataques en los próximos 30 días (EPSS): >99,9% entre el 0,1% superior de todas las vulnerabilidades conocidas
Debilidad: CWE-425
Más detalles: NVD · CVE.org · CISA

Todas las referencias (4)

Más fallos explotados de Apache

Añadido	Vulnerabilidad	Producto	Gravedad	Prob. de ataque
27 ago 2024	Incorrect AuthorizationCVE-2024-38856	OFBiz	Alto 8,1	99,4%
7 ago 2024	Path TraversalCVE-2024-32113	OFBiz	Crítica 9,1	99,9%
8 oct 2026	Command InjectionCVE-2016-3081	Struts	Alto 8,1	97%
4 ago 2026	Missing Encryption of Sensitive DataCVE-2026-34486	Tomcat	Alto 7,5	99%
16 abr 2026	Improper Input ValidationCVE-2026-34197	ActiveMQ	Alto 8,8	98%
1 may 2025	Improper Escaping of OutputCVE-2024-38475	HTTP Server	Crítica 9,1	>99,9%
1 abr 2025	Path EquivalenceCVE-2025-24813	Tomcat	Crítica 10,0	99,9%
18 sept 2024	Improper Access ControlCVE-2024-27348	HugeGraph-Server	Crítica 9,8	99,2%

Todas →

Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.