CVE-2021-31404

vaadin flow, vaadin

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2021-31404

Katalog CVE

CVSS 2.5 · Low EPSS 0,21%

Kerentanan Observable Timing Discrepancy pada vaadin flow, vaadin. Skor CVSS 3.1 2.5 (Low) menurut NVD.

Deskripsi (NVD)

Non-constant-time comparison of CSRF tokens in UIDL request handler in com.vaadin:flow-server versions 1.0.0 through 1.0.13 (Vaadin 10.0.0 through 10.0.16), 1.1.0 prior to 2.0.0 (Vaadin 11 prior to 14), 2.0.0 through 2.4.6 (Vaadin 14.0.0 through 14.4.6), 3.0.0 prior to 5.0.0 (Vaadin 15 prior to 18), and 5.0.0 through 5.0.2 (Vaadin 18.0.0 through 18.0.5) allows attacker to guess a security token via timing attack.

Rincian

Terbit di NVD
23 April 2021
Terakhir diubah
17 Juni 2026
Status NVD
Modified
CVSS 3.1
2.5 (Low), sumber NVD
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-208: Observable Timing Discrepancy
CWE-203: Observable Discrepancy
EPSS (30 hari)
0,21% peluang dieksploitasi; lebih tinggi dari 10,4% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
vaadin flow Versi 1.0.0 hingga sebelum 1.0.14
vaadin flow Versi 1.1.0 hingga sebelum 2.0.0
vaadin flow Versi 2.0.0 hingga sebelum 2.4.7
vaadin flow Versi 3.0.0 hingga sebelum 5.0.0
vaadin flow Versi 5.0.0 hingga sebelum 5.0.3
vaadin vaadin Versi 10.0.0 hingga sebelum 10.0.17
vaadin vaadin Versi 11.0.0 hingga sebelum 14.0.0
vaadin vaadin Versi 14.0.0 hingga sebelum 14.4.7
vaadin vaadin Versi 15.0.0 hingga sebelum 17.0.0
vaadin vaadin Versi 18.0.0 hingga sebelum 18.0.6

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.