Vulnerabilities > CVE-2021-31404 - Information Exposure Through Discrepancy vulnerability in Vaadin Flow

CVSS 2.5 - LOW

Attack vector

LOCAL

Attack complexity

HIGH

Privileges required

LOW

Confidentiality impact

LOW

Integrity impact

NONE

Availability impact

NONE

local

high complexity

vaadin

CWE-203

NVD

Published: 2021-04-23

Updated: 2021-04-30

Summary

Non-constant-time comparison of CSRF tokens in UIDL request handler in com.vaadin:flow-server versions 1.0.0 through 1.0.13 (Vaadin 10.0.0 through 10.0.16), 1.1.0 prior to 2.0.0 (Vaadin 11 prior to 14), 2.0.0 through 2.4.6 (Vaadin 14.0.0 through 14.4.6), 3.0.0 prior to 5.0.0 (Vaadin 15 prior to 18), and 5.0.0 through 5.0.2 (Vaadin 18.0.0 through 18.0.5) allows attacker to guess a security token via timing attack.

Vulnerable Configurations

Part	Description	Count
Application	Vaadin Vaadin Flow 1.1.0 Vaadin Flow 1.2.0 Vaadin Flow 1.2.1 Vaadin Flow 1.2.2 Vaadin Flow 1.2.3 Vaadin Flow 1.2.4 Vaadin Flow 1.2.5 Vaadin Flow 1.3.0 Vaadin Flow 1.4.0 Vaadin Flow 1.4.1 Vaadin Flow 1.4.2 Vaadin Flow 1.4.3 Vaadin Flow 1.4.4 Vaadin Flow 1.4.5 Vaadin Flow 1.4.6 Vaadin Flow 1.4.7 Vaadin Flow 1.4.8 Vaadin Flow 1.5.0 Vaadin Flow 3.0.0 Vaadin Flow 3.0.6 Vaadin Flow 3.0.7 Vaadin Flow 3.1.1 Vaadin Flow 3.1.2 Vaadin Flow 3.1.3 Vaadin Flow 3.1.5 Vaadin Flow 3.1.6 Vaadin Flow 3.1.7 Vaadin Flow 4.0.1 Vaadin Flow 4.0.2 Vaadin Flow 4.0.3 Vaadin Flow 4.0.4 Vaadin Flow 4.0.5 Vaadin Flow 1.0.0 Vaadin Flow 1.0.11 Vaadin Flow 1.0.12 Vaadin Flow 1.0.13 Vaadin Flow 2.0.0 Vaadin Flow 2.0.1 Vaadin Flow 2.0.2 Vaadin Flow 2.0.3 Vaadin Flow 2.0.4 Vaadin Flow 2.0.5 Vaadin Flow 2.0.6 Vaadin Flow 2.0.7 Vaadin Flow 2.0.8 Vaadin Flow 2.0.9 Vaadin Flow 2.0.10 Vaadin Flow 2.0.11 Vaadin Flow 2.0.12 Vaadin Flow 2.0.13 Vaadin Flow 2.0.14 Vaadin Flow 2.0.15 Vaadin Flow 2.0.16 Vaadin Flow 2.0.17 Vaadin Flow 2.0.18 Vaadin Flow 2.0.19 Vaadin Flow 2.1.0 Vaadin Flow 2.1.1 Vaadin Flow 2.1.2 Vaadin Flow 2.1.3 Vaadin Flow 2.1.4 Vaadin Flow 2.1.5 Vaadin Flow 2.1.6 Vaadin Flow 2.1.7 Vaadin Flow 2.1.8 Vaadin Flow 2.1.9 Vaadin Flow 2.2.0 Vaadin Flow 2.2.1 Vaadin Flow 2.2.2 Vaadin Flow 2.2.3 Vaadin Flow 2.3.0 Vaadin Flow 2.3.1 Vaadin Flow 2.3.2 Vaadin Flow 2.3.3 Vaadin Flow 2.3.4 Vaadin Flow 2.3.5 Vaadin Flow 2.3.6 Vaadin Flow 2.3.7 Vaadin Flow 2.4.0 Vaadin Flow 2.4.1 Vaadin Flow 2.4.2 Vaadin Flow 2.4.3 Vaadin Flow 2.4.4 Vaadin Flow 2.4.5 Vaadin Flow 2.4.6 Vaadin Flow 5.0.0 Vaadin Flow 5.0.1 Vaadin Flow 5.0.2 Vaadin Vaadin 11.0.0 Vaadin Vaadin 11.0.1 Vaadin Vaadin 11.0.2 Vaadin Vaadin 11.0.3 Vaadin Vaadin 11.0.4 Vaadin Vaadin 12.0.0 Vaadin Vaadin 12.0.1 Vaadin Vaadin 12.0.2 Vaadin Vaadin 12.0.3 Vaadin Vaadin 12.0.4 Vaadin Vaadin 12.0.5 Vaadin Vaadin 12.0.6 Vaadin Vaadin 12.0.7 Vaadin Vaadin 13.0.0 Vaadin Vaadin 13.0.1 Vaadin Vaadin 13.0.2 Vaadin Vaadin 13.0.3 Vaadin Vaadin 13.0.4 Vaadin Vaadin 13.0.5 Vaadin Vaadin 13.0.6 Vaadin Vaadin 13.0.7 Vaadin Vaadin 13.0.8 Vaadin Vaadin 15.0.0 Vaadin Vaadin 15.0.1 Vaadin Vaadin 15.0.2 Vaadin Vaadin 15.0.3 Vaadin Vaadin 15.0.4 Vaadin Vaadin 15.0.5 Vaadin Vaadin 15.0.6 Vaadin Vaadin 16.0.0 Vaadin Vaadin 16.0.1 Vaadin Vaadin 16.0.2 Vaadin Vaadin 16.0.3 Vaadin Vaadin 16.0.4 Vaadin Vaadin 16.0.5 Vaadin Vaadin 10.0.0 Vaadin Vaadin 10.0.1 Vaadin Vaadin 10.0.2 Vaadin Vaadin 10.0.3 Vaadin Vaadin 10.0.4 Vaadin Vaadin 10.0.5 Vaadin Vaadin 10.0.6 Vaadin Vaadin 10.0.7 Vaadin Vaadin 10.0.8 Vaadin Vaadin 10.0.9 Vaadin Vaadin 10.0.10 Vaadin Vaadin 10.0.11 Vaadin Vaadin 10.0.12 Vaadin Vaadin 10.0.13 Vaadin Vaadin 10.0.14 Vaadin Vaadin 10.0.15 Vaadin Vaadin 10.0.16 Vaadin Vaadin 14.0.0 Vaadin Vaadin 14.0.1 Vaadin Vaadin 14.0.2 Vaadin Vaadin 14.0.3 Vaadin Vaadin 14.0.4 Vaadin Vaadin 14.0.5 Vaadin Vaadin 14.0.6 Vaadin Vaadin 14.0.7 Vaadin Vaadin 14.0.8 Vaadin Vaadin 14.0.9 Vaadin Vaadin 14.0.10 Vaadin Vaadin 14.0.11 Vaadin Vaadin 14.0.12 Vaadin Vaadin 14.0.13 Vaadin Vaadin 14.0.14 Vaadin Vaadin 14.0.15 Vaadin Vaadin 14.1.0 Vaadin Vaadin 14.1.1 Vaadin Vaadin 14.1.2 Vaadin Vaadin 14.1.3 Vaadin Vaadin 14.1.4 Vaadin Vaadin 14.1.5 Vaadin Vaadin 14.1.16 Vaadin Vaadin 14.1.17 Vaadin Vaadin 14.1.18 Vaadin Vaadin 14.1.19 Vaadin Vaadin 14.1.20 Vaadin Vaadin 14.1.21 Vaadin Vaadin 14.1.22 Vaadin Vaadin 14.1.23 Vaadin Vaadin 14.1.24 Vaadin Vaadin 14.1.25 Vaadin Vaadin 14.1.26 Vaadin Vaadin 14.1.27 Vaadin Vaadin 14.1.28 Vaadin Vaadin 14.2.0 Vaadin Vaadin 14.2.1 Vaadin Vaadin 14.2.2 Vaadin Vaadin 14.2.3 Vaadin Vaadin 14.3.0 Vaadin Vaadin 14.3.1 Vaadin Vaadin 14.3.2 Vaadin Vaadin 14.3.3 Vaadin Vaadin 14.3.4 Vaadin Vaadin 14.3.5 Vaadin Vaadin 14.3.6 Vaadin Vaadin 14.3.7 Vaadin Vaadin 14.3.8 Vaadin Vaadin 14.3.9 Vaadin Vaadin 14.4.0 Vaadin Vaadin 14.4.1 Vaadin Vaadin 14.4.2 Vaadin Vaadin 14.4.3 Vaadin Vaadin 14.4.4 Vaadin Vaadin 14.4.5 Vaadin Vaadin 14.4.6 Vaadin Vaadin 18.0.0 Vaadin Vaadin 18.0.1 Vaadin Vaadin 18.0.2 Vaadin Vaadin 18.0.3 Vaadin Vaadin 18.0.4 Vaadin Vaadin 18.0.5	416

Common Weakness Enumeration (CWE)

CWE-203 - Information Exposure Through Discrepancy

Summary

Vulnerable Configurations

Common Weakness Enumeration (CWE)

References