Server session is not invalidated when logout() helper method of Authentication module is used in Vaadin 18-19

高 7.1CVE-2021-31408 · GHSA-mr8h-j9cv-4m8h · 23/04/2021 公開 · 17/06/2026 更新

要点

CVE-2021-31408 は com.vaadin:vaadin-bom, flow (vaadin), vaadin (vaadin) に影響する深刻度「高」 (CVSS 7.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.32%（全脆弱性の 25.2% より高い）。
対処：19.0.4, 6.0.0, 6.0.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.vaadin:vaadin-bom Maven	`≥ 18.0.0, < 19.0.4`	`19.0.4`
flow vaadin	`≥ 5.0.0, < 6.0.0≥ 6.0.0, < 6.0.5`	`6.0.06.0.5`
vaadin vaadin	`= 18.0.0≥ 19.0.0, < 19.0.4`	`19.0.4`

概要

Authentication.logout() helper in com.vaadin:flow-client versions 5.0.0 prior to 6.0.0 (Vaadin 18), and 6.0.0 through 6.0.4 (Vaadin 19.0.0 through 19.0.3) uses incorrect HTTP method, which, in combination with Spring Security CSRF protection, allows local attackers to access Fusion endpoints after the user attempted to log out.

https://vaadin.com/security/cve-2021-31408

NVD の説明

Authentication.logout() helper in com.vaadin:flow-client versions 5.0.0 prior to 6.0.0 (Vaadin 18), and 6.0.0 through 6.0.4 (Vaadin 19.0.0 through 19.0.3) uses incorrect HTTP method, which, in combination with Spring Security CSRF protection, allows local attackers to access Fusion endpoints after the user attempted to log out.