PT-2020-12963 · Apache · Apache Wicket

Shawn Mckinney

·

Publicado

2020-08-11

·

Atualizado

2022-04-26

·

CVE-2020-11976

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões 7.16.0, 8.8.0 e 9.0.0-M5 do Apache Wicket
Descrição
A vulnerabilidade permite que um invasor obtenha modelos HTML não processados ao criar uma URL especial, expondo potencialmente informações confidenciais que normalmente são removidas durante a renderização.
Recomendações
Para a versão 7.16.0 do Apache Wicket, atualize para uma versão que inclua a correção para este problema.
Para a versão 8.8.0 do Apache Wicket, atualize para uma versão que inclua a correção para este problema.
Para a versão 9.0.0-M5 do Apache Wicket, atualize para uma versão que inclua a correção para este problema.
Como solução temporária, considere restringir o acesso a modelos HTML confidenciais até que um patch esteja disponível.

Correção

Files Accessible to External Parties

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-552CWE-200

Identificadores relacionados

CVE-2020-11976
GHSA-64GV-3PQV-299H

Produtos afetados

Apache Wicket