PT-2021-19860 · Unknown · Apollos Apps

Publicado 2021-06-16 · Atualizado 2022-07-02 · CVE-2021-32691

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apollos Apps anteriores à 2.20.0

Descrição

O Apollos Apps é uma plataforma de código aberto para o lançamento de aplicativos relacionados à igreja. Nas versões afetadas, novos usuários registrados podem acessar a conta de qualquer pessoa apenas conhecendo suas informações básicas de perfil, como nome, data de nascimento e gênero. Isso inclui todas as funcionalidades do aplicativo, bem como quaisquer links autenticados para páginas da web baseadas no Rock, como doações e eventos.

Recomendações

Para versões anteriores à 2.20.0, atualize para a versão 2.20.0 para resolver o problema.

Como solução temporária, é possível corrigir o servidor substituindo o método de fonte de dados create na classe People. Isso envolve criar uma pessoa duplicada e, em seguida, corrigir a nova pessoa com seus detalhes de perfil, conforme mostrado no trecho de código fornecido.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-303

CWE-287

Identificadores relacionados

CVE-2021-32691

GHSA-R578-PJ6F-R4FF

Produtos afetados

Apollos Apps

Referências · 7

• https://github.com/ApollosProject/apollos-apps/commit/cb5f8f1c0b24f1b215b2bb5eb6f9a8e16d728ce2 · Correção
• https://github.com/ApollosProject/apollos-apps/security/advisories/GHSA-r578-pj6f-r4ff · Nota
• https://github.com/ApollosProject/apollos-apps/releases/tag/v2.20.0 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-32691 · Nota de Segurança
• https://t.me/cvenotify/16493 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-32691 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-r578-pj6f-r4ff · Aviso do Fabricante