PT-2022-15013 · Unknown · Flask-Appbuilder

Sam Wheating · Publicado 2022-01-31 · Atualizado 2022-02-07 · CVE-2022-21659

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Flask-AppBuilder anteriores à 3.4.4

Descrição

O problema diz respeito a uma vulnerabilidade de enumeração de usuários no Flask-AppBuilder, uma estrutura de desenvolvimento de aplicativos baseada na estrutura web Flask. Essa vulnerabilidade permite que um usuário não autenticado enumere as contas existentes medindo o tempo de resposta do servidor durante o login.

Recomendações

Para versões anteriores à 3.4.4, atualize para a versão 3.4.4 o mais rápido possível. Não há soluções alternativas conhecidas para este problema.

Exploit

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-204

CWE-203

Identificadores relacionados

CVE-2022-21659

GHSA-WFJW-W6PV-8P7F

PYSEC-2022-24

Produtos afetados

Flask-Appbuilder

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21659.json · Exploit
• https://github.com/dpgaspar/Flask-AppBuilder · Nota
• https://github.com/dpgaspar/Flask-AppBuilder/commit/e2b744c258ff62ece9d5ac7172c3b4644ff4c2fe · Nota
• https://github.com/dpgaspar/Flask-AppBuilder/commits/v3.4.4 · Nota
• https://github.com/dpgaspar/Flask-AppBuilder/security/advisories/GHSA-wfjw-w6pv-8p7f · Nota
• https://github.com/dpgaspar/Flask-AppBuilder/pull/1775 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/flask-appbuilder/PYSEC-2022-24.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2022-24 · Aviso do Fabricante
• https://t.me/cvenotify/26392 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-wfjw-w6pv-8p7f · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21659 · Nota de Segurança
• https://t.me/cibsecurity/36603 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-21659 · Aviso do Fabricante