PT-2020-9311 · Apache · Apache Ofbiz

Pradeep Jairamani · Publicado 2020-04-30 · Atualizado 2021-05-03 · CVE-2019-12425

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Apache OFBiz versão 17.12.01

Descrição:

O problema diz respeito à injeção no cabeçalho Host, em que o software aceita cabeçalhos Host arbitrários. Isso pode potencialmente levar a vários problemas de segurança.

Recomendações:

Para o Apache OFBiz versão 17.12.01, como solução temporária, considere restringir o acesso ao cabeçalho Host para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2019-12425

Produtos afetados

Apache Ofbiz

Referências · 10

• https://t.me/cvenotify/11678 · Publicação no Telegram
• https://t.me/cvenotify/11914 · Publicação no Telegram
• https://s.apache.org/7sr1x · Aviso do Fabricante
• https://lists.apache.org/thread.html/r0a0a701610b3bcdf14634047313adab3f1628bb9aa55cf29cd262ef5%40%3Ccommits.ofbiz.apache.org%3E · Nota
• https://lists.apache.org/thread.html/r907ce90745b52d2d5b6a815de03fd1d5f3831ab579a81d70cfda6f3d%40%3Cuser.ofbiz.apache.org%3E · Nota
• https://lists.apache.org/thread.html/r108a964764b8bd21ebd32ccd4f51c183ee80a251c105b849154a8e9d%40%3Ccommits.ofbiz.apache.org%3E · Nota
• https://t.me/cvenotify/3456 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2019-12425 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-12425 · Nota de Segurança
• https://lists.apache.org/thread.html/r5181b36218225447d3ce70891eeccfb6d6885309dffd7e0e59091817%40%3Cuser.ofbiz.apache.org%3E · Nota