PT-2020-14327
CVE-2020-15269
·
Publicado
2020-10-20
·
Atualizado
2021-11-18
Descrição por
CVSS 3.1
9.1
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Nome do software vulnerável e versões afetadas
Versões do Spree anteriores à 3.7.11
Versões do Spree anteriores à 4.0.4
Versões do Spree anteriores à 4.1.11
Descrição
A vulnerabilidade permite que tokens de usuário expirados sejam usados para acessar endpoints da Storefront API v2. Isso poderia ser explorado por um invasor que tenha obtido anteriormente um token de usuário antigo e expirado.
Recomendações
Para versões anteriores à 3.7.11, atualize para a versão 3.7.11.
Para versões anteriores à 4.0.4, atualize para a versão 4.0.4.
Para versões anteriores à 4.1.11, atualize para a versão 4.1.11.
Como solução alternativa temporária sem atualização, crie um arquivo decorador
app/controllers/spree/api/v2/base controller decorator.rb com o conteúdo especificado para substituir o método spree current user em Spree::Api::V2::BaseController.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾