CVSS: 2.5EPSS: 0%CPEs: 6EXPL: 0CVE-2021-33604 – Reflected cross-site scripting in development mode handler in Vaadin 14, 15-19
https://notcve.org/view.php?id=CVE-2021-33604
URL encoding error in development mode handler in com.vaadin:flow-server versions 2.0.0 through 2.6.1 (Vaadin 14.0.0 through 14.6.1), 3.0.0 through 6.0.9 (Vaadin 15.0.0 through 19.0.8) allows local user to execute arbitrary JavaScript code by opening crafted URL in browser. Un error de codificación de URL en el manejador de modo de desarrollo en com.vaadin:flow-server versiones 2.0.0 hasta 2.6.1 (Vaadin versiones 14.0.0 hasta 14.6.1), versiones 3.0.0 hasta 6.0.9 (Vaadin versiones 15.0.0 hasta 19.0.8) permite a un usuario local ejecutar código JavaScript arbitrario al abrir una URL diseñada en el navegador • https://github.com/vaadin/flow/pull/11099 https://vaadin.com/security/cve-2021-33604 • CWE-172: Encoding Error •
CVSS: 7.8EPSS: 0%CPEs: 5EXPL: 0CVE-2021-31411 – Insecure temporary directory usage in frontend build functionality of Vaadin 14 and 15-19
https://notcve.org/view.php?id=CVE-2021-31411
Insecure temporary directory usage in frontend build functionality of com.vaadin:flow-server versions 2.0.9 through 2.5.2 (Vaadin 14.0.3 through Vaadin 14.5.2), 3.0 prior to 6.0 (Vaadin 15 prior to 19), and 6.0.0 through 6.0.5 (Vaadin 19.0.0 through 19.0.4) allows local users to inject malicious code into frontend resources during application rebuilds. Un uso de directorio temporal no seguro en la funcionalidad frontend build de com.vaadin:flow-server versiones 2.0.9 hasta 2.5.2 (Vaadin versiones 14.0.3 hasta Vaadin 14.5.2), versiones 3.0 anteriores 6.0 (Vaadin versiones 15 anteriores a 19) y versiones 6.0 .0 hasta 6.0.5 (Vaadin versiones 19.0.0 hasta 19.0.4), permite a usuarios locales inyectar código malicioso en los recursos frontend durante la reconstrucción de la aplicación • https://github.com/vaadin/flow/pull/10640 https://vaadin.com/security/cve-2021-31411 • CWE-379: Creation of Temporary File in Directory with Insecure Permissions •
CVSS: 8.6EPSS: 0%CPEs: 4EXPL: 0CVE-2021-31407 – Server classes and resources exposure in OSGi applications using Vaadin 12-14 and 19
https://notcve.org/view.php?id=CVE-2021-31407
Vulnerability in OSGi integration in com.vaadin:flow-server versions 1.2.0 through 2.4.7 (Vaadin 12.0.0 through 14.4.9), and 6.0.0 through 6.0.1 (Vaadin 19.0.0) allows attacker to access application classes and resources on the server via crafted HTTP request. Una vulnerabilidad en la integración de OSGi en com.vaadin:flow-server versiones 1.2.0 hasta 2.4.7 (Vaadin versiones 12.0.0 hasta 14.4.9) y versiones 6.0.0 hasta 6.0.1 (Vaadin versión 19.0.0), permite al atacante acceder a las clases y recursos de aplicación en el servidor por medio de una petición HTTP diseñada • https://github.com/vaadin/flow/pull/10229 https://github.com/vaadin/flow/pull/10269 https://github.com/vaadin/osgi/issues/50 https://vaadin.com/security/cve-2021-31407 • CWE-402: Transmission of Private Resources into a New Sphere ('Resource Leak') CWE-668: Exposure of Resource to Wrong Sphere •
CVSS: 7.5EPSS: 0%CPEs: 4EXPL: 0CVE-2021-31405 – Regular expression denial of service (ReDoS) in EmailField component in Vaadin 14 and 15-17
https://notcve.org/view.php?id=CVE-2021-31405
Unsafe validation RegEx in EmailField component in com.vaadin:vaadin-text-field-flow versions 2.0.4 through 2.3.2 (Vaadin 14.0.6 through 14.4.3), and 3.0.0 through 4.0.2 (Vaadin 15.0.0 through 17.0.10) allows attackers to cause uncontrolled resource consumption by submitting malicious email addresses. Una comprobación no segura de RegEx en el componente EmailField en com.vaadin:vaadin-text-field-flow versiones 2.0.4 hasta 2.3.2 (Vaadin versiones 14.0.6 hasta 14.4.3) y versiones 3.0.0 hasta 4.0.2 (Vaadin versiones 15.0.0 hasta 17.0.10), permite a atacantes causar un consumo de recursos no controlado mediante el envío de direcciones de correo electrónico maliciosas • https://github.com/vaadin/flow-components/pull/442 https://vaadin.com/security/cve-2021-31405 • CWE-400: Uncontrolled Resource Consumption •
CVSS: 4.0EPSS: 0%CPEs: 10EXPL: 0CVE-2021-31404 – Timing side channel vulnerability in UIDL request handler in Vaadin 10, 11-14, and 15-18
https://notcve.org/view.php?id=CVE-2021-31404
Non-constant-time comparison of CSRF tokens in UIDL request handler in com.vaadin:flow-server versions 1.0.0 through 1.0.13 (Vaadin 10.0.0 through 10.0.16), 1.1.0 prior to 2.0.0 (Vaadin 11 prior to 14), 2.0.0 through 2.4.6 (Vaadin 14.0.0 through 14.4.6), 3.0.0 prior to 5.0.0 (Vaadin 15 prior to 18), and 5.0.0 through 5.0.2 (Vaadin 18.0.0 through 18.0.5) allows attacker to guess a security token via timing attack. La comparación non-constant-time de tokens CSRF en el manejador de peticiones UIDL en com.vaadin:flow-server versiones 1.0.0 hasta 1.0.13 (Vaadin versiones 10.0.0 hasta 10.0.16), versiones 1.1.0 anteriores a 2.0.0 (Vaadin versiones 11 anteriores a 14), versiones 2.0.0 hasta 2.4.6 (Vaadin versiones 14.0.0 hasta 14.4.6), versiones 3.0.0 anteriores a 5.0.0 (Vaadin versiones 15 anteriores a 18) y versiones 5.0.0 hasta 5.0.2 (Vaadin versiones 18.0.0 hasta 18.0.5), permite al atacante adivinar un token de seguridad por medio de un ataque de sincronización • https://github.com/vaadin/flow/pull/9875 https://vaadin.com/security/cve-2021-31404 • CWE-203: Observable Discrepancy CWE-208: Observable Timing Discrepancy •