PT-2021-14458 · Omero.Web · Omero.Web

Jburel · Publicado 2021-03-23 · Atualizado 2021-03-27 · CVE-2021-21376

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.4

Alta

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do OMERO.web anteriores à 5.9.0

Descrição

O OMERO.web é um software de código aberto baseado em Django para gerenciamento de imagens de microscopia. Ele carrega várias informações sobre o usuário atual, como seu id, nome e os grupos dos quais faz parte, que ficam disponíveis nas páginas principais do cliente web. Isso representa um problema de exposição de informações. Algumas informações adicionais que estão sendo carregadas não são utilizadas pelo cliente web e estão sendo removidas.

Recomendações

Para versões anteriores à 5.9.0, atualize para a versão 5.9.0 para resolver o problema. Como solução temporária, considere restringir o acesso a informações confidenciais do usuário até que a atualização seja aplicada.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2021-21376

GHSA-GFP2-W5JM-955Q

PYSEC-2021-31

Produtos afetados

Omero.Web

Referências · 14

• https://github.com/pypa/advisory-database/tree/main/vulns/omero-web/PYSEC-2021-31.yaml · Nota
• https://github.com/ome/omero-web/blob/master/CHANGELOG.md#590-march-2021 · Nota
• https://github.com/ome/omero-web/security/advisories/GHSA-gfp2-w5jm-955q · Nota
• https://github.com/ome/omero-web/commit/952f8e5d28532fbb14fb665982211329d137908c · Correção
• https://github.com/ome/omero-web · Nota
• https://openmicroscopy.org/security/advisories/2021-SV1 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-31 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21376 · Nota de Segurança
• https://pypi.org/project/omero-web · Nota
• https://t.me/cvenotify/11802 · Publicação no Telegram
• https://t.me/cvenotify/12103 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-gfp2-w5jm-955q · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-21376 · Aviso do Fabricante
• https://t.me/cibsecurity/25322 · Publicação no Telegram