Heimdall Security Logo

CVE-2021-32697

Vulnérabilité moyenne dans form (neos)

CVSS 6.5 · Moyenne
EPSS 1.1%
neos•form•Versions : >= 1.2.0, < 4.3.3, >= 5.1.0, < 5.1.3, >= 5.0.0, < 5.0.9

Description

neos/forms is an open source framework to build web forms. By crafting a special `GET` request containing a valid form state, a form can be submitted without invoking any validators. Form state is secured with an HMAC that is still verified. That means that this issue can only be exploited if Form Finishers cause side effects even if no form values have been sent. Form Finishers can be adjusted in a way that they only execute an action if the submitted form contains some expected data. Alternatively a custom Finisher can be added as first finisher. This regression was introduced with https://github.com/neos/form/commit/049d415295be8d4a0478ccba97dba1bb81649567

Gravité et risque d'exploitation

CVE-2021-32697 obtient un score CVSS de 6.5/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 1.12 %, ce qui la place devant 65.8 % des CVE référencées.

Que faire ?

  • Vérifiez si form (versions >= 1.2.0, < 4.3.3, >= 5.1.0, < 5.1.3, >= 5.0.0, < 5.0.9) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE