PT-2021-10287 · Autumn · Autumn

Publicado 2021-09-08 · Atualizado 2021-09-15 · CVE-2020-19137

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Autumn versões 1.0.4 e anteriores

Descrição:

A vulnerabilidade permite que invasores remotos obtenham credenciais de login em texto simples. Isso ocorre por meio do componente “autumn-cms/user/getAllUser/?page=1&limit=10”.

Recomendações:

Para as versões 1.0.4 e anteriores do Autumn, considere restringir o acesso ao componente “autumn-cms/user/getAllUser/” até que uma correção esteja disponível. Como solução alternativa temporária, evite usar os parâmetros page e limit no endpoint da API afetado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Cleartext Storage of Sensitive Information

Enumeração de Fraquezas

CWE-312

Identificadores relacionados

CVE-2020-19137

Produtos afetados

Autumn

Referências · 4

• 🔥 https://github.com/ShuaiJunlan/Autumn/issues/82 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-19137 · Nota de Segurança
• https://t.me/cibsecurity/28535 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-19137 · Aviso do Fabricante