PT-2021-18750 · Unknown · Zulip Server

Publicado 2021-04-14 · Atualizado 2022-07-12 · CVE-2021-30479

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Zulip Server anteriores à 3.4

Descrição

Foi detectada uma falha na implementação do recurso da API all public streams, fazendo com que usuários convidados pudessem receber mensagens em fluxos públicos que deveriam estar acessíveis apenas aos membros da organização.

Recomendações

Para versões anteriores à 3.4, atualize para a versão 3.4 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao recurso da API all public streams para minimizar o risco de exploração.

Correção

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2021-30479

Produtos afetados

Zulip Server

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2021-30479 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-30479 · Aviso do Fabricante
• https://t.me/cvenotify/13238 · Publicação no Telegram
• https://blog.zulip.com/2021/04/14/zulip-server-3-4 · Aviso do Fabricante