PT-2022-19702 · Vaadin · Vaadin
Christian Knoop
+1
·
Publicado
2022-05-24
·
Atualizado
2022-06-07
·
CVE-2022-29567
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Vaadin 14.8.5 a 14.8.9
Versões do Vaadin 22.0.6 a 22.0.14
Versões do Vaadin 23.0.0.beta2 a 23.0.8
Versões do Vaadin 23.1.0.alpha1 a 23.1.0.alpha4
Descrição
A configuração padrão de um componente TreeGrid utiliza Object::toString como chave na comunicação entre o lado do cliente e o servidor no Vaadin, resultando em potencial divulgação de informações de valores que não deveriam estar disponíveis no lado do cliente.
Recomendações
Para as versões do Vaadin 14.8.5 a 14.8.9, atualize a configuração para evitar o uso de Object::toString como chave.
Para as versões do Vaadin 22.0.6 a 22.0.14, atualize a configuração para evitar o uso de Object::toString como chave.
Para as versões 23.0.0.beta2 a 23.0.8 do Vaadin, atualize a configuração para evitar o uso de Object::toString como chave.
Para as versões 23.1.0.alpha1 a 23.1.0.alpha4 do Vaadin, atualize a configuração para evitar o uso de Object::toString como chave.
Como solução temporária, considere desativar o componente TreeGrid até que uma configuração adequada possa ser implementada.
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Vaadin