PT-2022-16845 · Sylius · Sylius
Lchrusciel
·
Publicado
2022-03-14
·
Atualizado
2023-06-30
·
CVE-2022-24742
CVSS v3.1
5.0
Média
| Vetor | AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Sylius anteriores à 1.9.10, 1.10.11 e 1.11.2
Descrição
A vulnerabilidade permite que qualquer outro usuário visualize os dados se a aba do navegador permanecer aberta após o logout. Isso pode levar a um vazamento de dados, como detalhes de clientes ou configuração do gateway de pagamento, caso essas páginas tenham sido acessadas anteriormente pelo administrador. A vulnerabilidade requer acesso total ao computador para ser explorada.
Recomendações
Para versões anteriores à 1.9.10, 1.10.11 e 1.11.2, atualize para a versão 1.9.10, 1.10.11 ou 1.11.2 para corrigir o problema.
Como solução alternativa temporária, considere implementar um redirecionamento estrito para a página de login mesmo quando o botão Voltar do navegador for pressionado.
Outra possibilidade é definir políticas de cache mais restritas para conteúdo restrito, como ‘no-store’, usando uma classe CacheControlSubscriber personalizada.
Exploit
Correção
Information Disclosure
Exposure of Resource to Wrong Sphere
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Sylius