PT-2021-19827 · Tenancy · Tenancy

Jazo · Publicado 2021-05-27 · Atualizado 2022-03-18 · CVE-2021-32645

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.8

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões multi-tenant do Tenancy anteriores à 5.7.2

Descrição

A vulnerabilidade permite redirecionamentos abertos, nos quais os usuários podem ser redirecionados do site para qualquer outro site por meio de uma URL especialmente criada. Isso ocorre em instalações que utilizam a identificação padrão por nome de host e em tenants com force https definido como true.

Recomendações

Para versões anteriores à 5.7.2, atualize para a versão 5.7.2 para corrigir o bug.

Como solução alternativa temporária, considere definir force https como false para todos os tenants; no entanto, isso pode comprometer a segurança da conexão.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2021-32645

GHSA-4R8Q-GV9J-3XX6

Produtos afetados

Tenancy

Referências · 7

• https://github.com/tenancy/multi-tenant/commit/9c837a21bccce9bcaeb90033ef200d84f0d9e164 · Correção
• https://github.com/tenancy/multi-tenant/security/advisories/GHSA-4r8q-gv9j-3xx6 · Nota
• https://webmasters.googleblog.com/2009/01/open-redirect-urls-is-your-site-being.html · Nota
• https://packagist.org/packages/hyn/multi-tenant · Nota
• https://osv.dev/vulnerability/CVE-2021-32645 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32645 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-4r8q-gv9j-3xx6 · Aviso do Fabricante