CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.9	$0-$5k	0.00

Es wurde eine Schwachstelle in generator-jhipster-kotlin 1.6.0 ausgemacht. Sie wurde als kritisch eingestuft. Hiervon betroffen ist eine unbekannte Funktionalität der Komponente Password Reset Handler. Durch die Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (Log) ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-117 vorgenommen. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

In generator-jhipster-kotlin version 1.6.0 log entries are created for invalid password reset attempts. As the email is provided by a user and the api is public this can be used by an attacker to forge log entries. This is vulnerable to https://cwe.mitre.org/data/definitions/117.html This problem affects only application generated with jwt or session authentication. Applications using oauth are not vulnerable. This issue has been fixed in version 1.7.0.

Die Schwachstelle wurde am 25.06.2020 (GitHub Repository) publiziert. Bereitgestellt wird das Advisory unter github.com. Die Identifikation der Schwachstelle wird seit dem 30.12.2019 mit CVE-2020-4072 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Ein Exploit zur Schwachstelle wird momentan etwa USD $0-$5k kosten (Preisberechnung vom 27.10.2020).

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Produktinfoedit

Name

• generator-jhipster-kotlin

CPE 2.3infoedit

• 🔒

CPE 2.2infoedit

• 🔒

CVSSv3infoedit

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 5.9

VulDB Base Score: 7.3
VulDB Temp Score: 6.8
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 5.3
NVD Vector: 🔒

CVSSv2infoedit

AV	AC	Au	C	I	A
🔍	🔍	🔍	🔍	🔍	🔍
🔍	🔍	🔍	🔍	🔍	🔍
🔍	🔍	🔍	🔍	🔍	🔍

Vector	Complexity	Authentication	Confidentiality	Integrity	Availability
unlock	unlock	unlock	unlock	unlock	unlock
unlock	unlock	unlock	unlock	unlock	unlock
unlock	unlock	unlock	unlock	unlock	unlock

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfoedit

Name: Log
Klasse: Erweiterte Rechte / Log
CWE: CWE-117
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	unlock	unlock	unlock	unlock
Heute	unlock	unlock	unlock	unlock

Threat Intelligenceinfoedit

Bedrohungslage: 🔍
Gegner: 🔍
Geopolitik: 🔍
Ökonomie: 🔍
Voraussagen: 🔍
Massnahmen: 🔍

Gegenmassnahmeninfoedit

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔒

Timelineinfoedit

30.12.2019 CVE zugewiesen
25.06.2020 +178 Tage Advisory veröffentlicht
26.06.2020 +1 Tage VulDB Eintrag erstellt
27.10.2020 +123 Tage VulDB letzte Aktualisierung

Quelleninfoedit

Advisory: github.com
Status: Nicht definiert
Bestätigung: 🔒

CVE: CVE-2020-4072 (🔒)

Eintraginfoedit

Erstellt: 26.06.2020 13:10
Aktualisierung: 27.10.2020 10:35
Anpassungen: (1) source_cve_cna
Komplett: 🔍

Kommentare

Might our Artificial Intelligence support you?

Check our Alexa App!