Reflected cross-site scripting in development mode handler in Vaadin 14, 15-19

THẤP 2.5CVE-2021-33604 · GHSA-c99r-67x4-whj6 · Công bố 24/06/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-33604 là lỗ hổng mức THẤP (CVSS 2.5) ảnh hưởng com.vaadin:vaadin-bom, flow-server (vaadin), vaadin (vaadin).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.29%, cao hơn 21.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 14.6.2, 19.0.9 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
com.vaadin:vaadin-bom Maven	`≥ 14.0.0, < 14.6.2≥ 15.0.0, < 19.0.9`	`14.6.219.0.9`
flow-server vaadin	`≥ 2.0.0, ≤ 2.6.1≥ 3.0.0, ≤ 5.0.0≥ 6.0.0, ≤ 6.0.9`	Chưa có bản vá
vaadin vaadin	`≥ 14.0.0, ≤ 14.6.1≥ 15.0.0, ≤ 18.0.0≥ 19.0.0, ≤ 19.0.8`	Chưa có bản vá

Mô tả

URL encoding error in development mode handler in com.vaadin:flow-server versions 2.0.0 through 2.6.1 (Vaadin 14.0.0 through 14.6.1), 3.0.0 through 6.0.9 (Vaadin 15.0.0 through 19.0.8) allows local user to execute arbitrary JavaScript code by opening crafted URL in browser.

https://vaadin.com/security/cve-2021-33604

Mô tả của NVD

URL encoding error in development mode handler in com.vaadin:flow-server versions 2.0.0 through 2.6.1 (Vaadin 14.0.0 through 14.6.1), 3.0.0 through 6.0.9 (Vaadin 15.0.0 through 19.0.8) allows local user to execute arbitrary JavaScript code by opening crafted URL in browser.