PT-2021-23210

CVE-2021-41246

Publicado

2021-12-09

Atualizado

2021-12-14

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Express OpenID Connect, versões 2.3.0 a 2.5.1

Descrição

O problema decorre da falha na regeneração do ID de sessão e do cookie de sessão quando um usuário faz login, tornando o aplicativo suscetível a vulnerabilidades de fixação de sessão. Esse comportamento afeta as versões anteriores ao lançamento da correção.

Recomendações

Para as versões 2.3.0 a 2.5.1, atualize para a versão 2.5.2 ou posterior para resolver o problema.

Explorabilidade

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-384: Session Fixation

Identificadores relacionados

CVE-2021-41246