Incorrect Authorization in serverless-offline

緊急 9.8CVE-2021-38384 · GHSA-h97f-5258-5593 · 10/08/2021 公開 · 17/06/2026 更新

要点

CVE-2021-38384 は serverless offline (serverless offline project), serverless-offline に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.5%（全脆弱性の 73.7% より高い）。
修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
serverless offline serverless_offline_project	`= 8.0.0`	修正版なし
serverless-offline npm	`≤ 8.0.0`	修正版なし

概要

Serverless Offline 8.0.0 returns a 403 HTTP status code for a route that has a trailing / character, which might cause a developer to implement incorrect access control, because the actual behavior within the Amazon AWS environment is a 200 HTTP status code (i.e., possibly greater than expected permissions).

NVD の説明

Serverless Offline 8.0.0 returns a 403 HTTP status code for a route that has a trailing / character, which might cause a developer to implement incorrect access control, because the actual behavior within the Amazon AWS environment is a 200 HTTP status code (i.e., possibly greater than expected permissions).