CVE-2016-4437
CriticalSummary
Apache Shiro w wersjach przed 1.2.5, gdy klucz szyfrujący nie został skonfigurowany dla funkcji 'zapamiętaj mnie', umożliwia zdalnym atakującym wykonanie dowolnego kodu lub ominięcie zamierzonych ograniczeń dostępu poprzez nieokreślony parametr żądania.
Risk Assessment
Organizacja może być narażona na zdalne ataki, które mogą prowadzić do nieautoryzowanego dostępu do systemów lub danych. Wykonanie dowolnego kodu przez atakującego może skutkować poważnymi konsekwencjami bezpieczeństwa.
Recommendation
Zaleca się aktualizację Apache Shiro do wersji 1.2.5 lub nowszej oraz skonfigurowanie klucza szyfrującego dla funkcji 'zapamiętaj mnie' w celu zminimalizowania ryzyka.
Original NVD description (English source)
Apache Shiro before 1.2.5, when a cipher key has not been configured for the "remember me" feature, allows remote attackers to execute arbitrary code or bypass intended access restrictions via an unspecified request parameter.