CVE-2021-39189mediumCWE-204

CVE-2021-39189: fallo de gravedad media en pimcore

Observable Response Discrepancy in Lost Password Service

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear pimcore+ Monitorear pimcore/pimcore

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.3epss 1.4%
En resumen

La función de recuperación de contraseña en Pimcore revela información sobre la existencia de usuarios a través de diferencias observables en las respuestas, permitiendo a atacantes descubrir cuentas válidas.

Detalle técnico

Un atacante puede enumerar nombres de usuario válidos mediante solicitudes de restablecimiento de contraseña y observar discrepancias en las respuestas (CWE-204) que filtran información sobre la existencia de cuentas sin autenticación. El ataque requiere solo acceso de red al endpoint de contraseña olvidada e impacta la confidencialidad de información de usuarios.

Resumen generado y traducido por IA a partir de la descripción oficial.
Pimcore is an open source data & experience management platform. In versions prior to 10.1.3, it is possible to enumerate usernames via the forgot password functionality. This issue is fixed in version 10.1.3. As a workaround, one may apply the available patch manually.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Productos afectados
pimcore · pimcore
CVEs relacionadas — pimcore

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-39365CRITICALRCE vulnerability in Pimcore/Mail & Dynamic Text LayoutEPSS 2.3%CVE-2022-31092HIGHSQL injection in pimcoreEPSS 1.4%CVE-2021-39170HIGHImproper Encoding or Escaping of Output in Asset Metadata ComponentEPSS 1.2%CVE-2023-47637HIGHSQL Injection in Admin Grid Filter API in PimcoreEPSS 1.2%CVE-2021-37702HIGHImproper Neutralization of Formula Elements in a CSV File in pimcore/pimcoreEPSS 1.1%CVE-2023-30852MEDIUMPimcore Arbitrary File Read in Admin JS CSS filesEPSS 1.0%