Multiple Plugins from Addify - Multiple CSRF

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• addify abandoned cart recoveryдо 1.2.5
• addify advanced free giftsдо 1.0.2
• addify checkout fields managerдо 1.0.2
• addify custom fields for woocommerceдо 1.0.4
• addify custom order numberдо 1.0.1 включительно
• addify custom registration forms builderдо 1.0.2
• addify gift registry for woocommerceдо 1.0.1 включительно
• addify image watermark for woocommerceдо 1.0.1 включительно
• addify order approval for woocommerceдо 1.1.0
• addify order tracking for woocommerceдо 1.0.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (WPScan). Не зависят от анализа CPE в NVD и обычно опережают его.

• Unknown Abandoned Cart Recovery

  • до 1.2.5затронута

• Unknown Advanced Free Gifts

  • до 1.0.2затронута

• Unknown Checkout Fields Manager

  • до 1.0.2затронута

• Unknown Custom Fields for WooCommerce

  • до 1.0.4затронута

• Unknown Custom Order Number

  • до 1.0.1 включительнозатронута

• Unknown Custom Registration Forms Builder

  • до 1.0.2затронута

• Unknown Gift Registry for WooCommerce

  • до 1.0.1 включительнозатронута

• Unknown Image Watermark for WooCommerce

  • до 1.0.1затронута

• Unknown Order Approval for WooCommerce

  • до 1.1.0затронута

• Unknown Order Tracking for WooCommerce

  • до 1.0.2затронута

• Unknown Price Calculator for WooCommerce

  • до 1.0.3 включительнозатронута

• Unknown Product Dynamic Pricing and Discounts

  • до 1.0.6 включительнозатронута

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.