| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|---|---|
| doorkeeper | ≥ 5.0.0, < 5.0.3≥ 5.1.0, < 5.1.1≥ 5.2.0, < 5.2.5≥ 5.3.0, < 5.3.2 | 5.0.35.1.15.2.55.3.2 |
| doorkeeper | ≥ 5.0.0, < 5.0.3≥ 5.1.0, < 5.1.1≥ 5.2.0, < 5.2.5≥ 5.3.0, < 5.3.2 | 5.0.35.1.15.2.55.3.2 |
Information disclosure vulnerability. Allows an attacker to see all Doorkeeper::Application model attribute values (including secrets) using authorized applications controller if it's enabled (GET /oauth/authorized_applications.json).
These versions have the fix:
Patch Doorkeeper::Application model #as_json(options = {}) method and define only those attributes you want to expose.
Additional recommended hardening is to enable application secrets hashing (guide), available since Doorkeeper 5.1. This would render the exposed secret useless.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí