PT-2021-19290 · Vaadin · Vaadin-Compatibility-Server+1

Stefan Penndorf · Publicado 2021-05-04 · Atualizado 2021-10-13 · CVE-2021-31409

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

com.vaadin:vaadin-compatibility-server, versões 8.0.0 a 8.12.4

Vaadin, versões 8.0.0 a 8.12.4

Descrição

O problema está relacionado a uma expressão regular (RegEx) de validação insegura no componente EmailValidator, que permite que invasores causem consumo descontrolado de recursos ao enviar endereços de e-mail maliciosos.

Recomendações

Para as versões 8.0.0 a 8.12.4 do com.vaadin:vaadin-compatibility-server, considere desativar o componente EmailValidator até que uma correção esteja disponível.

Para as versões 8.0.0 a 8.12.4 do Vaadin, restrinja o uso do componente EmailValidator para minimizar o risco de exploração.

Como solução alternativa temporária, evite usar o componente EmailValidator nas versões afetadas até que o problema seja resolvido.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2021-31409

GHSA-C332-W4JM-55WV

GHSA-JFMF-W293-8XR8

Produtos afetados

Vaadin

Vaadin-Compatibility-Server

Referências · 10

• https://github.com/vaadin/framework/issues/12240 · Correção
• https://github.com/vaadin/framework/pull/12241 · Correção
• https://github.com/vaadin/framework · Nota
• https://github.com/vaadin/framework/security/advisories/GHSA-c332-w4jm-55wv · Nota
• https://github.com/vaadin/framework/security/advisories/GHSA-jfmf-w293-8xr8 · Nota
• https://osv.dev/vulnerability/CVE-2021-31409 · Aviso do Fabricante
• https://vaadin.com/security/cve-2021-31409 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-31409 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-c332-w4jm-55wv · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-jfmf-w293-8xr8 · Aviso do Fabricante