PT-2021-16867 · Arangodb · Arangodb

Publicado 2021-11-16 · Atualizado 2025-03-10 · CVE-2021-25940

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do ArangoDB de v3.7.6 a v3.8.3

Descrição

O problema está relacionado à expiração insuficiente da sessão. Quando a senha de um usuário é alterada pelo administrador, a sessão não é invalidada, permitindo que um usuário mal-intencionado permaneça conectado e execute ações arbitrárias no sistema.

Recomendações

Para as versões do ArangoDB v3.7.6 a v3.8.3, considere invalidar as sessões dos usuários após uma alteração de senha pelo administrador como uma solução temporária até que um patch esteja disponível.

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

BIT-ARANGODB-2021-25940

CVE-2021-25940

Produtos afetados

Arangodb

Referências · 5

• https://github.com/arangodb/arangodb/commit/e9c6ee9dcca7b9b4fbcd02a0b323d205bee838d3 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-25940 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-25940 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-arangodb-2021-25940 · Aviso do Fabricante
• https://whitesourcesoftware.com/vulnerability-database/CVE-2021-25940 · Nota