NVD / CVE Program· CNA jpcert

CVE-2021-20789: Open redirect vulnerability in GroupSession (GroupSession Free edition from ver2.2.0 to the version prior to ver5.1.0, GroupSession byCloud…

СредняяCVSS 6.1 · v3.1—Эксплойта нет Исправление не зафиксировано

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 24/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,87% (FIRST EPSS); выше, чем у 59,2% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Пользователь должен открыть ссылку или посетить страницу. Особые условия не требуются; воспроизводится стабильно.
Согласно записи, исправленной версии пока нет.

Пока низкий приоритет. Обновитесь, когда выйдет исправление; следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Open redirect vulnerability in GroupSession (GroupSession Free edition from ver2.2.0 to the version prior to ver5.1.0, GroupSession byCloud from ver3.0.3 to the version prior to ver5.1.0, and GroupSession ZION from ver3.0.3 to the version prior to ver5.1.0) allows a remote attacker to redirect a user to an arbitrary web site and conduct a phishing attack via a specially crafted URL.

Опубликовано: 30 июл. 2021 г.
Обновлено: 16 июн. 2026 г.
EPSS: 0,8 % · 59-й процентиль
CWE: CWE-601

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 24 / 40 · 6.1 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,8 %

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
groupsession	groupsession	cpe:2.3:a:groupsession:groupsession
groupsession	groupsession bycloud	cpe:2.3:a:groupsession:groupsession_bycloud
groupsession	groupsession zion	cpe:2.3:a:groupsession:groupsession_zion

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (jpcert). Не зависят от анализа CPE в NVD и обычно опережают его.

Japan Total System Co.,Ltd. GroupSession
- GroupSession Free edition from ver2.2.0 to the version prior to ver5.1.0, GroupSession byCloud from ver3.0.3 to the version prior to ver5.1.0, and GroupSession ZION from ver3.0.3 to the version prior затронута

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

groupsession groupsession2.20 и новее · до 5.1.0
groupsession groupsession bycloud3.0.3 и новее · до 5.1.0
groupsession groupsession zion3.0.3 и новее · до 5.1.0

Тот же продукт

groupsession: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2021-20874Incorrect permission assignment for critical resource vulnerability in GroupSession Free edition ver5.1.1 and earlier, GroupSession byCloud…
30Наблюдать
CVE-2025-61987GroupSession Free edition prior to ver5.3.0, GroupSession byCloud prior to ver5.3.3, and GroupSession ZION prior to ver5.3.2.
27Наблюдать
CVE-2021-20876Path traversal vulnerability in GroupSession Free edition ver5.1.1 and earlier, GroupSession byCloud ver5.1.1 and earlier, and GroupSession…
27Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2021-2078730 июл. 2021 г. · Cross-site scripting vulnerability in GroupSession (GroupSession Free edition from ver2.2.0 to the version prior to ver5.1.0, GroupSession…
19Наблюдать
← РаньшеCVE-2021-2078830 июл. 2021 г. · Server-side request forgery (SSRF) vulnerability in GroupSession (GroupSession Free edition from ver2.2.0 to the version prior to ver5.1.0…
17Наблюдать
Позже →CVE-2021-2087524 дек. 2021 г. · Open redirect vulnerability in GroupSession Free edition ver5.1.1 and earlier, GroupSession byCloud ver5.1.1 and earlier, and GroupSession…
24Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.