Vulnerabilidad en una petición "GET" en neos/forms (CVE-2021-32697)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-20
Validación incorrecta de entrada
Fecha de publicación:
21/06/2021
Última modificación:
29/06/2021
Descripción
neos/forms es un framework de código abierto para construir formularios web. Al diseñar una petición especial "GET" que contenga un estado de formulario válido, un formulario puede ser enviado sin invocar ningún validador. El estado del formulario está asegurado con un HMAC que sigue siendo comprobado. Esto significa que este problema sólo puede ser explotado si los Form Finishers causan efectos secundarios incluso si no se han enviado valores de formulario. Los finalizadores de formularios pueden ajustarse de manera que sólo ejecuten una acción si el formulario enviado contiene algunos datos esperados. Alternativamente se puede añadir un finalizador personalizado como primer finalizador. Esta regresión se introdujo con https://github.com/neos/form/commit/049d415295be8d4a0478ccba97dba1bb81649567
Impacto
Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:neos:form:*:*:*:*:*:*:*:* | 1.2.0 (incluyendo) | 4.3.3 (excluyendo) |
| cpe:2.3:a:neos:form:*:*:*:*:*:*:*:* | 5.0.0 (incluyendo) | 5.0.9 (excluyendo) |
| cpe:2.3:a:neos:form:*:*:*:*:*:*:*:* | 5.1.0 (incluyendo) | 5.1.3 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/neos/form-ghsa-m5vx-8chx-qvmm/pull/1
- https://github.com/neos/form/commit/049d415295be8d4a0478ccba97dba1bb81649567
- https://github.com/neos/form/commit/69de4219b1f58157e2be6b05811463875d75c246
- https://github.com/neos/form/releases/tag/5.1.3
- https://github.com/neos/form/security/advisories/GHSA-m5vx-8chx-qvmm