PT-2022-15015 · Unknown · Gin-Vue-Admin

Uzju · Publicado 2022-02-09 · Atualizado 2022-02-15 · CVE-2022-21660

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Gin-vue-admin anteriores à 2.4.7

Descrição

A vulnerabilidade afeta o Gin-vue-admin, um sistema de gerenciamento de back-end baseado em Vue e Gin, no qual usuários com privilégios reduzidos podem alterar os privilégios de usuários com privilégios superiores devido à falta de autenticação na função setUserInfo. Recomenda-se que os usuários atualizem o software o mais rápido possível. Não há soluções alternativas conhecidas.

Recomendações

Para versões anteriores à 2.4.7, atualize para a versão 2.4.7 ou posterior o mais rápido possível para resolver o problema. Como solução alternativa temporária, considere desativar a função setUserInfo até que um patch esteja disponível.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2022-21660

GHSA-XXVH-9C87-PQJX

Produtos afetados

Gin-Vue-Admin

Referências · 8

• 🔥 https://github.com/flipped-aurora/gin-vue-admin/security/advisories/GHSA-xxvh-9c87-pqjx · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21660.json · Exploit
• 🔥 https://github.com/UzJu/Gin-Vue-admin-poc-CVE-2022-21660 · Exploit
• https://t.me/cibsecurity/37116 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-21660 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21660 · Nota de Segurança
• https://t.me/cvenotify/26800 · Publicação no Telegram
• https://t.me/cvenotify/26538 · Publicação no Telegram