CVE-2023-25499
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W Vaadin dodawanie niewidocznych komponentów do interfejsu po stronie serwera powoduje wysłanie ich zawartości do przeglądarki, co może prowadzić do ujawnienia informacji. Problem dotyczy wersji 10.0.0-10.0.22, 11.0.0-14.10.0, 15.0.0-22.0.28, 23.0.0-23.3.12, 24.0.0-24.0.5 oraz 24.1.0.alpha1-24.1.0.beta1.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych, które powinny pozostać ukryte przed klientem, co może naruszyć poufność informacji. Ryzyko dotyczy aplikacji Vaadin, w których po stronie serwera tworzone są niewidoczne komponenty zawierające wrażliwe dane.
Rekomendacja
Zaktualizuj Vaadin do wersji zawierającej poprawkę. Przejrzyj aplikację pod kątem niewidocznych komponentów zawierających wrażliwe dane i upewnij się, że nie są one przesyłane do klienta.
Inne podatności w Vaadin
Zobacz wszystkie- CVE-2025-9467Średnie
W komponencie Vaadin Upload, gdy listener start jest używany do walidacji metadanych przychodzącego przesłania, możliwe jest obejście walidacji uploadu. Podatność dotyczy wersji Vaadin 7.0.0-7.7.47, 8.0.0-8.28.1, 14.0.0-14.13.0, 23.0.0-23.6.1 oraz 24.0.0-24.7.6.
- CVE-2023-25500Niskie
W Vaadin w wielu wersjach istnieje podatność umożliwiająca ujawnienie informacji o nazwach klas i metod w odpowiedziach RPC poprzez wysyłanie zmodyfikowanych żądań.
- CVE-2022-29567Średnie
Domyślna konfiguracja komponentu TreeGrid w Vaadin używa Object::toString jako klucza w komunikacji klient-serwer, co może prowadzić do ujawnienia wartości, które nie powinny być dostępne po stronie klienta. Problem dotyczy wersji Vaadin 14.8.5-14.8.9, 22.0.6-22.0.14, 23.0.0.beta2-23.0.8 oraz 23.1.0.alpha1-23.1.0.alpha4.
Oryginalny opis (angielski, źródło NVD)
When adding non-visible components to the UI in server side, content is sent to the browser in Vaadin 10.0.0 through 10.0.22, 11.0.0 through 14.10.0, 15.0.0 through 22.0.28, 23.0.0 through 23.3.12, 24.0.0 through 24.0.5 and 24.1.0.alpha1 to 24.1.0.beta1, resulting in potential information disclosure.