PT-2021-17644 · Ymfe · Ymfe Yapi

Jarlob + 1 · Publicado 2021-03-01 · Atualizado 2021-03-26 · CVE-2021-27884

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.1

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

YMFE YApi versões 1.9.2 e anteriores

Descrição:

O problema decorre da geração inadequada do segredo de assinatura do JSON Web Token (JWT). Isso se deve ao uso de Math.random no Node.js, que não fornece números aleatórios criptograficamente seguros, permitindo a recriação de tokens JWT de outros usuários.

Recomendações:

Para as versões 1.9.2 e anteriores, atualize para a versão 1.9.3 para resolver o problema. Como solução temporária, considere restringir o acesso a operações confidenciais que dependem de tokens JWT até que a atualização possa ser aplicada.

Correção

Use of Insufficiently Random Values

Enumeração de Fraquezas

CWE-330

Identificadores relacionados

CVE-2021-27884

GHSA-2H3H-VW8R-82RP

Produtos afetados

Ymfe Yapi

Referências · 7

• https://github.com/YMFE/yapi/issues/2117 · Nota
• https://github.com/YMFE/yapi/issues/2263 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-27884 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-2h3h-vw8r-82rp · Aviso do Fabricante
• https://securitylab.github.com/advisories/GHSL-2020-228-YMFE-yapi · Nota
• https://t.me/cibsecurity/24317 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-27884 · Aviso do Fabricante