CVE-2021-21276

**Nome do software vulnerável e versões afetadas:

Versões do Polr anteriores à 2.3.0

Descrição:

O Polr é um encurtador de URL de código aberto. Uma vulnerabilidade no processo de configuração permite que invasores obtenham acesso de administrador às instâncias do site, mesmo que não possuam uma conta existente. Essa vulnerabilidade existe independentemente das configurações dos usuários. Se um invasor criar uma solicitação com cabeçalhos de cookie específicos para o endpoint “/setup/finish”, ele poderá obter privilégios de administrador na instância. Isso é causado por uma comparação frouxa (==) no SetupController que é suscetível a ataques. O projeto foi corrigido para garantir que uma comparação estrita (===) seja usada para verificar a chave de configuração e que “/setup/finish” verifique se não existe nenhuma tabela de usuários antes de realizar quaisquer migrações ou provisionar novas contas.

Recomendações:

Para versões anteriores à 2.3.0, atualize para a versão 2.3.0 para corrigir a vulnerabilidade.

Como solução alternativa temporária, os usuários podem corrigir essa vulnerabilidade sem atualizar, adicionando abort(404) à primeira linha de finishSetup no SetupController.php.