Krytyczna

Improper Access Control in Webauthn Framework

Ujawniono: 29.09.2021
Aktualizacja: 11.10.2026 10:22

Webauthn Framework 3.3.x before 3.3.4 has Incorrect Access Control. An attacker that controls a user's system is able to login to a vulnerable service using an attached FIDO2 authenticator without passing a check of the user presence.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	web-auth/webauthn-framework	>= 3.3.0, < 3.3.4	3.3.4

Odnośniki

Ocena CVSS 9.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-863
Platforma: Composer
Paczka: web-auth/webauthn-framework
Ujawniono: 29.09.2021
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-6whf-q6p5-84wg - CC BY 4.0

Historia podatności: web-auth/webauthn-framework

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 4
Pierwsza → ostatnia: 09.2021 05.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Średnia 2
Niska 1

Ujawnienia w latach

2021: 1
2022: 0
2023: 0
2024: 1
2025: 0
2026: 2

07.05.2026

Webauthn has a User Verification Downgrade via Default-Open ClientOverridePolicy

Niska · 2.1 ghsa-h4fw-6r7f-w494 >= 5.3.0, < 5.3.1 5.3.1
10.03.2026

Webauthn Framework: allowed_origins collapses URL-like origins to host-only values, bypassing exact origin validation

Średnia · 5.4 CVE-2026-30964 >= 5.2.0, < 5.2.4 5.2.4
15.07.2024

The FIDO2/Webauthn Support for PHP library allows enumeration of valid usernames

Średnia · 5.3 CVE-2024-39912 >= 4.5.0, < 4.9.0 4.9.0
29.09.2021

Improper Access Control in Webauthn Framework ten wpis

Krytyczna · 9.8 CVE-2021-38299 >= 3.3.0, < 3.3.4 3.3.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację