CVE-2016-4437

Apache Shiro tiene un fallo crítico en la función 'recuérdame': cuando no se configura una clave de cifrado, los atacantes pueden falsificar tokens de login para eludir la autenticación o ejecutar código malicioso en el servidor. Esto es peligroso porque la función se usa comúnmente y la configuración predeterminada deja los sistemas vulnerables.

CVE-2016-4437 explota una deficiente gestión de claves criptográficas en la funcionalidad RememberMe de Apache Shiro (CWE-321). Sin clave de cifra configurada, el token de autenticación serializado carece de encriptación, permitiendo que atacantes remotos creen objetos serializados maliciosos a través de parámetros de solicitud que logran ejecución arbitraria de código mediante gadgets de deserialización o bypass directo de autenticación. No requiere autenticación previa.