Possible route enumeration in production mode via RouteNotFoundError view in Vaadin 10, 11-14, and 15-19

Una falla en el framework Vaadin permite que atacantes descubran todas las rutas (URLs) disponibles de una aplicación en producción mediante solicitudes especialmente diseñadas, si ningún manejador de errores personalizado está configurado. Esto ayuda a los atacantes a mapear la estructura de la aplicación y encontrar endpoints vulnerables.

La vista predeterminada RouteNotFoundError en Vaadin flow-server falla al sanitizar adecuadamente la ruta de la solicitud, permitiendo ataques de enumeración de rutas en modo producción cuando no se proporciona un manejador personalizado de NotFoundException. Un atacante no autenticado puede descubrir todas las rutas disponibles de la aplicación a través de respuestas 404, facilitando reconocimiento para explotación posterior.