PT-2020-18354 · Auth0 · Auth0.Js

Marcinhoppe · Publicado 2020-04-09 · Atualizado 2020-04-10 · CVE-2020-5263

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:H/UI:R/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

auth0.js versões 8.0.0 a 9.12.3

auth0.js versões 8.0.0 a 9.13.1

Descrição

No caso de um erro de autenticação, o objeto de erro retornado pela biblioteca contém a solicitação original do usuário, que pode incluir a senha em texto simples digitada pelo usuário. Se o objeto de erro for exposto ou registrado sem modificação, o aplicativo corre o risco de exposição da senha.

Recomendações

Para as versões 8.0.0 a 9.12.3, atualize para a versão 9.12.3 ou posterior.

Para as versões 8.0.0 a 9.13.1, atualize para a versão 9.13.2 ou posterior.

Como solução alternativa temporária, considere não armazenar o objeto de erro ou exibi-lo publicamente sem modificações para minimizar o risco de exposição da senha.

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2020-5263

GHSA-PRFQ-F66G-43MP

Produtos afetados

Auth0.Js

Referências · 6

• https://github.com/auth0/auth0.js/commit/355ca749b229fb93142f0b3978399b248d710828 · Correção
• https://github.com/auth0/auth0.js/security/advisories/GHSA-prfq-f66g-43mp · Nota
• https://osv.dev/vulnerability/GHSA-prfq-f66g-43mp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-5263 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-5263 · Aviso do Fabricante
• https://t.me/cvenotify/2626 · Publicação no Telegram