Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

CVE-2026-110737

PUBLISHED 27.10.2026

CNA: Vaadin

Push Endpoint Returns Permissive CORS Headers

Обновлено: 27.10.2026
The push endpoint of a Vaadin application that uses server push reflects the request Origin into the Access-Control-Allow-Origin response header and allows credentials, because Flow configures Atmosphere with DROP_ACCESS_CONTROL_ALLOW_ORIGIN_HEADER set to false and its CorsInterceptor then echoes whatever Origin the request carries. A page on any origin can therefore make a cross origin request to that endpoint with the user's cookies and read the response, although reading anything useful also requires the push identifier of that session. Applications that do not use @Push are not affected, and neither is the WebSocket transport. The behaviour was introduced in January 2015 and is present in every Flow release and in Vaadin Framework from 7.1.0, which is when push was added. Users of affected versions should apply the following mitigation or upgrade. Releases that have fixed this issue include: Product version Vaadin 14.14.0 - 14.14.7 Vaadin 23.6.0 - 23.6.16 Vaadin 24.4.0 - 24.4.25 Vaadin 24.5.0 - 24.5.15 Vaadin 24.6.0 - 24.6.13 Vaadin 24.7.0 - 24.7.16 Vaadin 24.8.0 - 24.8.17 Vaadin 24.9.0 - 24.9.23 Vaadin 24.10.0 - 24.10.11 Vaadin 25.0.0 - 25.0.13 Vaadin 25.1.0 - 25.1.13 Vaadin 25.2.0 - 25.2.10 Vaadin 25.3.0 - 25.3.2 Vaadin Framework 7.1.0 - 7.7.54 Vaadin Framework 8.0.0 - 8.32.1 Mitigation Upgrade to 14.14.8 Upgrade to 23.6.17 Upgrade to 24.4.26 Upgrade to 24.7.17 Upgrade to 24.7.17 Upgrade to 24.7.17 Upgrade to 24.9.24 Upgrade to 24.9.24 Upgrade to 24.10.12 Upgrade to 25.2.11 Upgrade to 25.2.11 Upgrade to 25.2.11 Upgrade to 25.3.3 Upgrade to 7.7.55 Upgrade to 8.32.2 Please note that Vaadin versions 10-13 and 15-22 are no longer supported and you should update either to the latest 14, 23, 24, 25 version. Artifacts under com.vaadin Maven coordinates / Vulnerable versions / Fixed version vaadin / 14.14.0 - 14.14.7 / >=14.14.8 vaadin / 23.6.0 - 23.6.16 / >=23.6.17 vaadin / 24.4.0 - 24.4.25 / >=24.4.26 vaadin / 24.5.0 - 24.5.15 / >=24.7.17 vaadin / 24.6.0 - 24.6.13 / >=24.7.17 vaadin / 24.7.0 - 24.7.16 / >=24.7.17 vaadin / 24.8.0 - 24.8.17 / >=24.9.24 vaadin / 24.9.0 - 24.9.23 / >=24.9.24 vaadin / 24.10.0 - 24.10.11 / >=24.10.12 vaadin / 25.0.0 - 25.0.13 / >=25.2.11 vaadin / 25.1.0 - 25.1.13 / >=25.2.11 vaadin / 25.2.0 - 25.2.10 / >=25.2.11 vaadin / 25.3.0 - 25.3.2 / >=25.3.3 vaadin-core / 14.14.0 - 14.14.7 / >=14.14.8 vaadin-core / 23.6.0 - 23.6.16 / >=23.6.17 vaadin-core / 24.4.0 - 24.4.25 / >=24.4.26 vaadin-core / 24.5.0 - 24.5.15 / >=24.7.17 vaadin-core / 24.6.0 - 24.6.13 / >=24.7.17 vaadin-core / 24.7.0 - 24.7.16 / >=24.7.17 vaadin-core / 24.8.0 - 24.8.17 / >=24.9.24 vaadin-core / 24.9.0 - 24.9.23 / >=24.9.24 vaadin-core / 24.10.0 - 24.10.11 / >=24.10.12 vaadin-core / 25.0.0 - 25.0.13 / >=25.2.11 vaadin-core / 25.1.0 - 25.1.13 / >=25.2.11 vaadin-core / 25.2.0 - 25.2.10 / >=25.2.11 vaadin-core / 25.3.0 - 25.3.2 / >=25.3.3 flow-server / 2.13.0 - 2.13.7 / >=2.13.8 flow-server / 23.6.0 - 23.6.15 / >=23.6.16 flow-server / 24.4.0 - 24.4.18 / >=24.4.19 flow-server / 24.5.0 - 24.5.17 / >=24.7.17 flow-server / 24.6.0 - 24.6.14 / >=24.7.17 flow-server / 24.7.0 - 24.7.15 / >=24.7.16 flow-server / 24.8.0 - 24.8.16 / >=24.9.24 flow-server / 24.9.0 - 24.9.28 / >=24.9.29 flow-server / 24.10.0 - 24.10.14 / >=24.10.15 flow-server / 25.0.0 - 25.0.15 / >=25.2.11 flow-server / 25.1.0 - 25.1.18 / >=25.1.19 flow-server / 25.2.0 - 25.2.12 / >=25.2.13 flow-server / 25.3.0 - 25.3.3 / >=25.3.4 vaadin-server / 7.1.0 - 7.7.54 / >=7.7.55 vaadin-server / 8.0.0 - 8.32.1 / >=8.32.2 vaadin-server-mpr-jakarta / 7.7.36 - 7.7.54 / >=7.7.55 vaadin-server-mpr-jakarta / 8.18.0 - 8.32.1 / >=8.32.2

CWE

Идентификатор Описание
CWE-346 The product does not properly verify that the source of data or communication is valid.
CWE-942 The product uses a web-client protection mechanism such as a Content Security Policy (CSP) or cross-domain policy file, but the policy includes untrusted domains with which the web client is allowed to communicate.

CVSS

Оценка Severity Версия Базовый вектор
2.3 LOW 4.0 CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

EPSS

Вероятность Severity Процентиль ? Дата расчёта
0.20% LOW 9.26 01.11.2026

Доп. Информация

Product Status

vaadin
Product: vaadin
Vendor: vaadin
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 14.14.0 до 14.14.8 affected
Наблюдалось в версиях от 23.6.0 до 23.6.17 affected
Наблюдалось в версиях от 24.4.0 до 24.4.26 affected
Наблюдалось до версии 24.5.15 affected
Наблюдалось до версии 24.6.13 affected
Наблюдалось в версиях от 24.7.0 до 24.7.17 affected
Наблюдалось до версии 24.8.17 affected
Наблюдалось в версиях от 24.9.0 до 24.9.24 affected
Наблюдалось в версиях от 24.10.0 до 24.10.12 affected
Наблюдалось до версии 25.0.13 affected
Наблюдалось до версии 25.1.13 affected
Наблюдалось в версиях от 25.2.0 до 25.2.11 affected
Наблюдалось в версиях от 25.3.0 до 25.3.3 affected
vaadin
Product: vaadin
Vendor: vaadin
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 14.14.0 до 14.14.8 affected
Наблюдалось в версиях от 23.6.0 до 23.6.17 affected
Наблюдалось в версиях от 24.4.0 до 24.4.26 affected
Наблюдалось до версии 24.5.15 affected
Наблюдалось до версии 24.6.13 affected
Наблюдалось в версиях от 24.7.0 до 24.7.17 affected
Наблюдалось до версии 24.8.17 affected
Наблюдалось в версиях от 24.9.0 до 24.9.24 affected
Наблюдалось в версиях от 24.10.0 до 24.10.12 affected
Наблюдалось до версии 25.0.13 affected
Наблюдалось до версии 25.1.13 affected
Наблюдалось в версиях от 25.2.0 до 25.2.11 affected
Наблюдалось в версиях от 25.3.0 до 25.3.3 affected
flow
Product: flow
Vendor: vaadin
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 2.13.0 до 2.13.8 affected
Наблюдалось в версиях от 23.6.0 до 23.6.16 affected
Наблюдалось в версиях от 24.4.0 до 24.4.19 affected
Наблюдалось до версии 24.5.17 affected
Наблюдалось до версии 24.6.14 affected
Наблюдалось в версиях от 24.7.0 до 24.7.16 affected
Наблюдалось до версии 24.8.16 affected
Наблюдалось в версиях от 24.9.0 до 24.9.29 affected
Наблюдалось в версиях от 24.10.0 до 24.10.15 affected
Наблюдалось до версии 25.0.15 affected
Наблюдалось в версиях от 25.1.0 до 25.1.19 affected
Наблюдалось в версиях от 25.2.0 до 25.2.13 affected
Наблюдалось в версиях от 25.3.0 до 25.3.4 affected
framework
Product: framework
Vendor: vaadin
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 7.1.0 до 7.7.55 affected
Наблюдалось в версиях от 8.0.0 до 8.32.2 affected
framework
Product: framework
Vendor: vaadin
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 7.7.36 до 7.7.55 affected
Наблюдалось в версиях от 8.18.0 до 8.32.2 affected
 

Ссылки

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.