Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 03/11/2021, correctif exigé avant le 03/05/2022 pour les agences fédérales américaines.

Action requise : Apply updates per vendor instructions.

Description officielle (NVD)

Apache Shiro contains a vulnerability which may allow remote attackers to execute code or bypass intended access restrictions via an unspecified request parameter when a cipher key has not been configured for the "remember me" feature.

Preuves de concept publiques (7)

Dépôts tiers non vérifiés, parfois piégés. Ne les exécutez jamais en production : uniquement dans un environnement de test isolé.

bkfish/Awesome_shiro · ★ 55 · 27/05/2020
CVE-2016-4437-Shiro反序列化爆破模块和key,命令执行，反弹shell的脚本
4nth0ny1130/shisoserial · ★ 24 · 23/12/2021
一个针对shiro反序列化漏洞(CVE-2016-4437)的快速利用工具/A simple tool targeted at shiro framework attacks with ysoserial.
pizza-power/CVE-2016-4437 · ★ 2 · 22/12/2023
Python POC to Exploit CVE-2016-4437 Apache Shiro Deserialization Vulnerability Due to Hardcode Encryption Key
35789-gh/cve-2016-4437 · ★ 1 · 19/02/2026
这是基于cve-2016-4437简单的漏洞复现代码
m3terpreter/CVE-2016-4437 · ★ 0 · 22/06/2021
xk-mt/CVE-2016-4437 · ★ 0 · 15/01/2024
1.验证CVE-2016-4437、2.解析rememberMe的文件和CBC加密的IV偏移
CyberCTF/vulhub-shiro-cve-2016-4437 · ★ 0 · 08/10/2026
Vulhub shiro/CVE-2016-4437: Shiro 1.2.4 rememberMe deserialization, run with Isoloom