Heimdall Security Logo

CVE-2021-26296

Vulnérabilité non évaluée dans Apache MyFaces Core (Apache Software Foundation)

CVSS 0.0 · Non évaluée
EPSS 2.9%
Apache Software Foundation•Apache MyFaces Core•Versions : Apache MyFaces Core 3.0, <2.2.14, <2.3.8, Apache MyFaces Core 2.3-next, <2.3-next-M5, Apache MyFaces Core 2.2, <3.0.0, Apache MyFaces Core 2.3

Description

In the default configuration, Apache MyFaces Core versions 2.2.0 to 2.2.13, 2.3.0 to 2.3.7, 2.3-next-M1 to 2.3-next-M4, and 3.0.0-RC1 use cryptographically weak implicit and explicit cross-site request forgery (CSRF) tokens. Due to that limitation, it is possible (although difficult) for an attacker to calculate a future CSRF token value and to use that value to trick a user into executing unwanted actions on an application.

Gravité et risque d'exploitation

CVE-2021-26296 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 2.89 %, ce qui la place devant 86.7 % des CVE référencées.

Que faire ?

  • Vérifiez si Apache MyFaces Core (versions Apache MyFaces Core 3.0, <2.2.14, <2.3.8, Apache MyFaces Core 2.3-next, <2.3-next-M5, Apache MyFaces Core 2.2, <3.0.0, Apache MyFaces Core 2.3) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE