CVE-2021-31406

com.vaadin:flow-server, versões 3.0.0 a 5.0.3

com.vaadin:fusion-endpoint, versão 6.0.0

O problema está relacionado a uma comparação de tempo não constante de tokens CSRF no manipulador de solicitações do endpoint. Isso permite que um invasor adivinhe um token de segurança para endpoints Fusion por meio de um ataque de temporização.

Para as versões 3.0.0 a 5.0.3 do com.vaadin:flow-server, atualize para uma versão fora desse intervalo para mitigar o risco.

Para a versão 6.0.0 do com.vaadin:fusion-endpoint, atualize para uma versão diferente da 6.0.0 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao manipulador de solicitações do endpoint vulnerável até que um patch esteja disponível.