Krytyczna

com.enonic.xp:lib-auth vulnerable to Session Fixation

Ujawniono: 12.10.2022
Aktualizacja: 11.10.2026 12:22

Impact

All id-providers using lib-auth login method.

Patches

https://github.com/enonic/xp/commit/0189975691e9e6407a9fee87006f730e84f734ff https://github.com/enonic/xp/commit/2abac31cec8679074debc4f1fb69c25930e40842 https://github.com/enonic/xp/commit/1f44674eb9ab3fbab7103e8d08067846e88bace4

Workarounds

Don't use lib-auth for login. Java API uses low-level structures and allows to invalidate previous session before auth-info is added.

References

https://github.com/enonic/xp/issues/9253

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	com.enonic.xp:lib-auth	< 7.7.4	7.7.4

Odnośniki

Ocena CVSS 9.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-384
Platforma: Java / Kotlin (Maven)
Paczka: com.enonic.xp:lib-auth
Ujawniono: 12.10.2022
Aktualizacja: 11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4m5p-5w5w-3jcf - CC BY 4.0

Historia podatności: com.enonic.xp:lib-auth

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację