Express · Express · CVE-2021-28122
**Nome do software vulnerável e versões afetadas:
Open5GS versões 2.1.3 a 2.2.x anteriores à 2.2.1
Descrição:
Foi detectada uma falha na validação de solicitações no componente WebUI, permitindo que um usuário não autenticado utilize uma solicitação HTTP API maliciosa para criar, ler, atualizar ou excluir entradas no banco de dados de assinantes. Por exemplo, novos usuários administrativos podem ser adicionados. A falha ocorre porque o Express não está configurado para exigir autenticação.
Recomendações:
Para as versões do Open5GS 2.1.3 a 2.2.x anteriores à 2.2.1, considere configurar o Express para exigir autenticação no componente WebUI, a fim de impedir o acesso não autorizado ao banco de dados de assinantes.
Como solução alternativa temporária, considere restringir o acesso ao componente WebUI até que um patch esteja disponível.