PT-2021-20228 · Vaadin · Vaadin+1

Pleku · Publicado 2021-06-24 · Atualizado 2021-07-01 · CVE-2021-33604

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.5

Baixa

Vetor base

AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

com.vaadin:flow-server, versões 2.0.0 a 2.6.1

com.vaadin:flow-server, versões 3.0.0 a 6.0.9

Descrição

Um erro de codificação de URL no manipulador do modo de desenvolvimento permite que um usuário local execute código JavaScript arbitrário ao abrir uma URL maliciosa em um navegador. Esta vulnerabilidade afeta as versões do Vaadin 14.0.0 a 14.6.1 e 15.0.0 a 19.0.8.

Recomendações

Para as versões 2.0.0 a 2.6.1 do com.vaadin:flow-server, atualize para uma versão fora desse intervalo para resolver o problema.

Para as versões 3.0.0 a 6.0.9 do com.vaadin:flow-server, atualize para uma versão fora desse intervalo para resolver o problema.

Como solução alternativa temporária, considere desativar o manipulador do modo de desenvolvimento até que um patch esteja disponível.

Correção

Enumeração de Fraquezas

CWE-172

Identificadores relacionados

CVE-2021-33604

GHSA-8VFW-V2JV-9HWC

GHSA-C99R-67X4-WHJ6

Produtos afetados

Vaadin

Com.Vaadin:Flow-Server

Referências · 9

• https://github.com/vaadin/flow · Nota
• https://github.com/vaadin/flow/pull/11099 · Correção
• https://github.com/vaadin/flow/security/advisories/GHSA-8vfw-v2jv-9hwc · Nota
• https://github.com/vaadin/platform/security/advisories/GHSA-c99r-67x4-whj6 · Nota
• https://osv.dev/vulnerability/CVE-2021-33604 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-33604 · Nota de Segurança
• https://vaadin.com/security/cve-2021-33604 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c99r-67x4-whj6 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8vfw-v2jv-9hwc · Aviso do Fabricante