CVE-2021-21241
Təsvir
Python "Flask-Security-Too" paketi Flask tətbiqinə təhlükəsizlik funksiyalarının əlavə edilməsi üçün istifadə olunur. Bu paket, Flask-Security-nin 3.0.0 versiyasına əsaslanan və müstəqil şəkildə idarə olunan versiyadır. Flask-Security-Too-nun 3.3.0 versiyasından başlayaraq 3.4.5 versiyasına qədər olan hissəsində /login və /change son nöqtələri (endpoints) GET sorğusuna cavab olaraq autentifikasiya olunmuş istifadəçinin autentifikasiya tokenini qaytara bilər. GET sorğuları CSRF tokeni ilə qorunmadığı üçün bu, bədniyyətli üçüncü tərəf saytının autentifikasiya tokenini əldə etməsinə səbəb ola bilər. Versiya 3.4.5 və versiya 4.0.0-da bu problem aradan qaldırılıb. Müvəqqəti həll yolu kimi, əgər autentifikasiya tokenlərindən istifadə etmirsinizsə, SECURITY_TOKEN_MAX_AGE parametrini "0" (saniyə) olaraq təyin edə bilərsiniz ki, bu da tokeni istifadəsiz etməlidir.
Necə düzəltmək olar
- flask-security-too_project flask-security-too3.4.5 və ya daha yeni versiya
- flask-security-too3.4.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flask-security-too_project flask-security-too | 3.3.0 ≤ v < 3.4.5 | 3.4.5 |
| flask-security-tooPyPI | 3.3.0 ≤ v < 3.4.5 | 3.4.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.