PT-2021-9094 · Vaadin · Com.Vaadin:Flow-Server

Tatulund · Publicado 2021-04-19 · Atualizado 2021-05-05 · CVE-2019-25027

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

com.vaadin:flow-server, versões 1.0.0 a 1.0.10

com.vaadin:flow-server, versões 1.1.0 a 1.4.2

Descrição

O problema está relacionado à falta de sanitização de saída na visualização padrão do RouteNotFoundError. Isso permite que um invasor execute JavaScript malicioso por meio de uma URL manipulada.

Recomendações

Para as versões 1.0.0 a 1.0.10 do com.vaadin:flow-server, atualize para uma versão fora desse intervalo para resolver o problema.

Para as versões 1.1.0 a 1.4.2 do com.vaadin:flow-server, atualize para uma versão fora desse intervalo para resolver o problema.

Como solução alternativa temporária, considere implementar a sanitização adequada da saída para a visualização RouteNotFoundError a fim de impedir a execução de JavaScript malicioso.

Correção

XSS

Enumeração de Fraquezas

CWE-79

CWE-81

Identificadores relacionados

CVE-2019-25027

GHSA-JQJ4-R483-4GVR

GHSA-RP4X-WXQV-CF9M

Produtos afetados

Com.Vaadin:Flow-Server

Referências · 9

• https://github.com/vaadin/flow/pull/5498 · Correção
• https://github.com/vaadin/flow/security/advisories/GHSA-rp4x-wxqv-cf9m · Nota
• https://github.com/vaadin/platform · Nota
• https://github.com/vaadin/platform/security/advisories/GHSA-jqj4-r483-4gvr · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2019-25027 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jqj4-r483-4gvr · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2019-25027 · Aviso do Fabricante
• https://vaadin.com/security/cve-2019-25027 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rp4x-wxqv-cf9m · Aviso do Fabricante