CVE-2021-39189mediumCWE-204

CVE-2021-39189: falha de média gravidade em pimcore

Observable Response Discrepancy in Lost Password Service

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar pimcore+ Monitorar pimcore/pimcore

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 1.4%
Em resumo

A função de redefinição de senha do Pimcore deixa pistas que revelam se um usuário existe ou não no sistema, permitindo que atacantes descubram nomes de usuários válidos.

Detalhe técnico

Um atacante pode enumerar usuários válidos enviando requisições de recuperação de senha e observando diferenças nas respostas que indicam a existência de contas (CWE-204). O ataque requer apenas acesso à rede e ao endpoint de senha esquecida, comprometendo a confidencialidade da informação de existência de usuários.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Pimcore is an open source data & experience management platform. In versions prior to 10.1.3, it is possible to enumerate usernames via the forgot password functionality. This issue is fixed in version 10.1.3. As a workaround, one may apply the available patch manually.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Produtos afetados
pimcore · pimcore
CVEs relacionadas — pimcore

No mesmo produto, das mais perigosas para as menos.

CVE-2022-39365CRITICALRCE vulnerability in Pimcore/Mail & Dynamic Text LayoutEPSS 2.3%CVE-2022-31092HIGHSQL injection in pimcoreEPSS 1.4%CVE-2021-39170HIGHImproper Encoding or Escaping of Output in Asset Metadata ComponentEPSS 1.2%CVE-2023-47637HIGHSQL Injection in Admin Grid Filter API in PimcoreEPSS 1.2%CVE-2021-37702HIGHImproper Neutralization of Formula Elements in a CSV File in pimcore/pimcoreEPSS 1.1%CVE-2023-30852MEDIUMPimcore Arbitrary File Read in Admin JS CSS filesEPSS 1.0%