PT-2021-22252 · Unknown · Netless Agora Flat Server

Publicado 2021-08-13 · Atualizado 2022-07-12 · CVE-2021-38621

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do netless Agora Flat Server anteriores a 30/07/2021

Descrição

O problema diz respeito à API de remoção no netless Agora Flat Server, especificamente no arquivo v1/controller/cloudStorage/alibabaCloud/remove/index.ts, que trata incorretamente a propriedade dos arquivos.

Recomendações

Para versões anteriores a 30/07/2021, considere restringir o acesso ao endpoint da API remove “/v1/controller/cloudStorage/alibabaCloud/remove” até que uma correção seja aplicada. Como solução alternativa temporária, revise e verifique manualmente a propriedade dos arquivos para evitar possíveis usos indevidos.

Correção

Identificadores relacionados

CVE-2021-38621

Produtos afetados

Netless Agora Flat Server

Referências · 5

• https://github.com/netless-io/flat-server/commit/425aa970f6366874c61aa1466527fced5501e476 · Correção
• https://osv.dev/vulnerability/CVE-2021-38621 · Aviso do Fabricante
• https://t.me/cibsecurity/27305 · Publicação no Telegram
• https://t.me/cvenotify/19301 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-38621 · Nota de Segurança