PT-2021-14279 · Mercari · Mercari

Ryotak · Publicado 2021-11-24 · Atualizado 2022-05-03 · CVE-2021-20835

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Mercari (Merpay) - Versões do aplicativo de marketplace e pagamentos móveis anteriores à 4.49.1

Descrição:

A vulnerabilidade está relacionada a uma autorização inadequada no manipulador de um esquema de URL personalizado, permitindo que um invasor remoto induza um usuário a acessar um site arbitrário. Esse site pode então iniciar uma atividade arbitrária do aplicativo por meio do aplicativo vulnerável, resultando potencialmente na obtenção do token de acesso da conta Mercari.

Recomendações:

Para versões anteriores à 4.49.1, atualize para a versão 4.49.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a esquemas de URL personalizados dentro do aplicativo para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2021-20835

Produtos afetados

Mercari

Referências · 5

• https://t.me/cvenotify/23917 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-20835 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-20835 · Nota de Segurança
• https://jvn.jp/en/jp/JVN49465877/index.html · Nota
• https://t.me/cibsecurity/32954 · Publicação no Telegram