CVE-2021-31408

Опубликовано: 23 апр. 2021

Источник: nvd

CVSS3: 6.3

CVSS3: 7.1

CVSS2: 3.3

EPSS Низкий

Описание

Authentication.logout() helper in com.vaadin:flow-client versions 5.0.0 prior to 6.0.0 (Vaadin 18), and 6.0.0 through 6.0.4 (Vaadin 19.0.0 through 19.0.3) uses incorrect HTTP method, which, in combination with Spring Security CSRF protection, allows local attackers to access Fusion endpoints after the user attempted to log out.

Ссылки

https://github.com/vaadin/flow/pull/10577
Patch
Third Party Advisory
https://vaadin.com/security/cve-2021-31408
Vendor Advisory
https://github.com/vaadin/flow/pull/10577
Patch
Third Party Advisory
https://vaadin.com/security/cve-2021-31408
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:vaadin:flow:*:*:*:*:*:*:*:*

Версия от 5.0.0 (включая) до 6.0.0 (исключая)

cpe:2.3:a:vaadin:flow:*:*:*:*:*:*:*:*

Версия от 6.0.0 (включая) до 6.0.5 (исключая)

cpe:2.3:a:vaadin:vaadin:*:*:*:*:*:*:*:*

Версия от 19.0.0 (включая) до 19.0.4 (исключая)

cpe:2.3:a:vaadin:vaadin:18.0.0:-:*:*:*:*:*:*

EPSS

Процентиль: 15%

0.00048

Низкий

6.3 Medium

CVSS3

7.1 High

CVSS3

3.3 Low

CVSS2

Дефекты

CWE-613

Связанные уязвимости

GHSA-mr8h-j9cv-4m8h

CVSS3: 6.3

github

почти 5 лет назад

Server session is not invalidated when logout() helper method of Authentication module is used in Vaadin 18-19

EPSS

Процентиль: 15%

0.00048

Низкий

6.3 Medium

CVSS3

7.1 High

CVSS3

3.3 Low

CVSS2

Дефекты

CWE-613