Cross-site request forgery (CSRF) vulnerability in Bugzilla 2.17 to 2.22.7, 3.0 before 3.0.7, 3.2 before 3.2.1, and 3.3 before 3.3.2 allows

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• mozilla bugzilla2.17
• mozilla bugzilla2.17.1
• mozilla bugzilla2.17.3
• mozilla bugzilla2.17.4
• mozilla bugzilla2.17.5
• mozilla bugzilla2.17.6
• mozilla bugzilla2.17.7
• mozilla bugzilla2.18
• mozilla bugzilla2.18.1
• mozilla bugzilla2.18.2
• mozilla bugzilla2.18.3
• mozilla bugzilla2.18.4
• mozilla bugzilla2.18.5
• mozilla bugzilla2.18.6
• mozilla bugzilla2.18.6+
• mozilla bugzilla2.19
• mozilla bugzilla2.19.1
• mozilla bugzilla2.19.2
• mozilla bugzilla2.19.3
• mozilla bugzilla2.20

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2004-0769Buffer overflow in LHA allows remote attackers to execute arbitrary code via long pathnames in LHarc format 2 headers for a .LHZ archive, as
  42В плане
• CVE-2003-1042SQL injection vulnerability in collectstats.pl for Bugzilla 2.16.3 and earlier allows remote authenticated users with editproducts privilege
  41В плане
• CVE-2003-1043SQL injection vulnerability in Bugzilla 2.16.3 and earlier, and 2.17.1 through 2.17.4, allows remote authenticated users with editkeywords p
  41В плане
• CVE-2002-0007CGI.pl in Bugzilla before 2.14.1, when using LDAP, allows remote attackers to obtain an anonymous bind to the LDAP server via a request that
  41В плане
• CVE-2018-5123A third party website can access information available to a user with access to a restricted bug entry using the image generation in report.
  35Наблюдать
• CVE-2015-4499Util.pm in Bugzilla 2.x, 3.x, and 4.x before 4.2.15, 4.3.x and 4.4.x before 4.4.10, and 5.x before 5.0.1 mishandles long e-mail addresses du
  31Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.