Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el parámetro "OIDCPreservePost On" en el servidor HTTP Apache en mod_auth_openidc (CVE-2021-32792)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
26/07/2021
Última modificación:
07/11/2023

Descripción

mod_auth_openidc es un módulo de autenticación/autorización para el servidor HTTP Apache versión 2.x que funciona como OpenID Connect Relying Party, autenticando a usuarios contra un proveedor de OpenID Connect. En mod_auth_openidc versiones anteriores a 2.4.9, se presenta una vulnerabilidad de tipo XSS cuando se usa el parámetro "OIDCPreservePost On"

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:openidc:mod_auth_openidc:*:*:*:*:*:*:*:* 2.4.9 (excluyendo)
cpe:2.3:a:apache:http_server:*:*:*:*:*:*:*:* 2.0.0 (incluyendo) 2.4.48 (incluyendo)
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*