Vulnerabilidad en @fastify/session (CVE-2024-35220)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

21/05/2024

Última modificación:

22/05/2024

Descripción

@fastify/session es un complemento de sesión para fastify. Requiere el complemento @fastify/cookie. Al restaurar la cookie desde el almacén de sesiones, el campo "expires" se anula si se configuró el campo "maxAge". Esto significa que una cookie nunca se detecta correctamente como caducada y, por lo tanto, las sesiones caducadas no se destruyen. Esta vulnerabilidad ha sido parcheada 10.8.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.40 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.40

Gravedad 3.x

ALTA

Vulnerabilidad en @fastify/session (CVE-2024-35220)

Descripción

Impacto

Referencias a soluciones, herramientas e información