PT-2021-16889 · Unknown · Calibre-Web

Ozzieisaacs · Publicado 2021-11-16 · Atualizado 2024-11-19 · CVE-2021-25965

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Calibre-web, versões 0.6.0 a 0.6.13

Descrição

A vulnerabilidade permite que um invasor crie uma nova função de usuário com privilégios de administrador e credenciais controladas por ele, induzindo um usuário autenticado a clicar em um link, o que pode resultar no controle da aplicação. Isso é feito por meio de uma falsificação de solicitação entre sites (CSRF).

Recomendações

Para as versões 0.6.0 a 0.6.13 do Calibre-web, como solução temporária, considere restringir o acesso à funcionalidade de criação de funções de usuário até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-25965

Produtos afetados

Calibre-Web

Referências · 6

• https://github.com/janeczku/calibre-web/commit/50919d47212066c75f03ee7a5332ecf2d584b98e · Correção
• https://whitesourcesoftware.com/vulnerability-database/CVE-2021-25965 · Nota
• https://t.me/cibsecurity/32461 · Publicação no Telegram
• https://t.me/cvenotify/102117 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-25965 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-25965 · Aviso do Fabricante