PT-2022-15007 · Shopware · Shopware
Publicado
2022-01-05
·
Atualizado
2022-01-12
·
CVE-2022-21652
CVSS v2.0
5.5
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões do Shopware anteriores à 5.7.7
Descrição
O problema diz respeito ao mecanismo de validação de sessão no Shopware, uma plataforma de software de comércio eletrônico de código aberto. Nas versões afetadas, o Shopware não invalidava uma sessão de usuário quando ocorria uma alteração de senha. Isso significa que as sessões criadas antes da última alteração de senha ainda podiam ser usadas para fazer login na conta. Na versão 5.7.7, a validação de sessão foi ajustada de forma que as sessões criadas antes da última alteração de senha de uma conta de cliente não possam ser usadas para fazer login com essa conta. Após uma alteração de senha, todas as sessões existentes para uma determinada conta de cliente são automaticamente consideradas inválidas.
Recomendações
Para versões anteriores à 5.7.7, atualize para a versão 5.7.7 para resolver o problema. Para versões mais antigas, considere usar o Plug-in de Segurança como medida temporária. Como orientação geral, recomenda-se a atualização para a versão atual 5.7.7, o que pode ser feito através do Auto-Updater ou diretamente pela página de downloads.
Exploit
Correção
Insufficient Session Expiration
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Shopware