CVE-2020-10187
Yüksek
Açıklama
Doorkeeper sürüm 5.0.0 ve sonrası, bir saldırganın yalnızca OAuth uygulama sahibine yönelik olan istemci sırrını (client secret) elde etmesine izin veren bir bilgi ifşası zafiyeti içermektedir. Uygulamayı yetkilendirdikten ve erişime izin verdikten sonra, saldırganın yalnızca yetkilendirilmiş uygulamalarının listesini JSON formatında talep etmesi yeterlidir (genellikle GET /oauth/authorized_applications.json). Yetkilendirilmiş uygulamalar denetleyicisi (authorized applications controller) etkinse uygulama savunmasızdır.
ÖnemYüksek
CVSS7.5
İstismar olasılığı—
ÜrünDoorkeeper
Yayın4 May 2020
İlk görülme4 May 2020
Nasıl düzeltilir
Güncelleyin
- doorkeeper_project doorkeeper5.0.3, 5.1.1, 5.2.5, 5.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| doorkeeper_project doorkeeper | 5.0.0 ≤ v < 5.0.3, 5.1.0 ≤ v < 5.1.1, 5.2.0 ≤ v < 5.2.5, 5.3.0 ≤ v < 5.3.2 | 5.0.3, 5.1.1, 5.2.5, 5.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.