CVE-2010-3978
Vulnérabilité non évaluée
CVSS 0.0 · Non évaluée
EPSS 2.5%
Description
Spree 0.11.x before 0.11.2 and 0.30.x before 0.30.0 exchanges data using JavaScript Object Notation (JSON) without a mechanism for validating requests, which allows remote attackers to obtain sensitive information via vectors involving (1) admin/products.json, (2) admin/users.json, or (3) admin/overview/get_report_data, related to a "JSON hijacking" issue.
Gravité et risque d'exploitation
CVE-2010-3978 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 2.53 %, ce qui la place devant 84.7 % des CVE référencées.
Que faire ?
- Vérifiez si le produit concerné est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- http://www.conviso.com.br/json-hijacking-vulnerability/
- http://spreecommerce.com/blog/2010/11/02/json-hijacking-vulnerability/
- https://github.com/railsdog/spree/commit/19944bd999c310d9b10d16a41f48ebac97dc4fac
- http://spreecommerce.com/blog/2010/11/09/spree-0-30-0-released/
- https://github.com/railsdog/spree/commit/d881b2bb610ea33e2364ff16feb8e702dfeda135
- http://www.conviso.com.br/security-advisory-spree-e-commerce-json-v-0-11x/
- http://twitter.com/conviso/statuses/29555076248
- http://www.securityfocus.com/archive/1/514674/100/0/threaded