Regular expression denial of service (ReDoS) in EmailField component in Vaadin 14 and 15-17

高 7.5CVE-2021-31405 · GHSA-2wqp-jmcc-mc77 · 23/04/2021 公開 · 17/06/2026 更新

要点

CVE-2021-31405 は com.vaadin:vaadin-bom, flow (vaadin), vaadin (vaadin) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.1%（全脆弱性の 66.3% より高い）。
対処：14.4.4, 17.0.11, 2.3.3, 4.0.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.vaadin:vaadin-bom Maven	`≥ 14.0.6, < 14.4.4≥ 15.0.0, < 17.0.11`	`14.4.417.0.11`
flow vaadin	`≥ 2.0.4, < 2.3.3≥ 3.0.0, < 4.0.3`	`2.3.34.0.3`
vaadin vaadin	`≥ 14.0.6, < 14.4.4≥ 15.0.0, < 17.0.11`	`14.4.417.0.11`

概要

Unsafe validation RegEx in EmailField component in com.vaadin:vaadin-text-field-flow versions 2.0.4 through 2.3.2 (Vaadin 14.0.6 through 14.4.3), and 3.0.0 through 4.0.2 (Vaadin 15.0.0 through 17.0.10) allows attackers to cause uncontrolled resource consumption by submitting malicious email addresses.

https://vaadin.com/security/cve-2021-31405

NVD の説明

Unsafe validation RegEx in EmailField component in com.vaadin:vaadin-text-field-flow versions 2.0.4 through 2.3.2 (Vaadin 14.0.6 through 14.4.3), and 3.0.0 through 4.0.2 (Vaadin 15.0.0 through 17.0.10) allows attackers to cause uncontrolled resource consumption by submitting malicious email addresses.