Multiple cross-site request forgery (CSRF) vulnerabilities in SilverStripe 2.3.x before 2.3.9 and 2.4.x before 2.4.3 allow remote attackers

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• silverstripe silverstripe2.3.0
• silverstripe silverstripe2.3.1
• silverstripe silverstripe2.3.2
• silverstripe silverstripe2.3.3
• silverstripe silverstripe2.3.4
• silverstripe silverstripe2.3.5
• silverstripe silverstripe2.3.6
• silverstripe silverstripe2.3.7
• silverstripe silverstripe2.3.8
• silverstripe silverstripe2.4.0
• silverstripe silverstripe2.4.1
• silverstripe silverstripe2.4.2

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2007-2321Unspecified vulnerability in the search functionality in SilverStripe 2.0.0 has unknown impact and attack vectors.
  40В плане
• CVE-2019-12204In SilverStripe through 4.3.3, a missing warning about leaving install.php in a public webroot can lead to unauthenticated admin access.
  39Наблюдать
• CVE-2019-5715All versions of SilverStripe 3 prior to 3.6.7 and 3.7.3, and all versions of SilverStripe 4 prior to 4.0.7, 4.1.5, 4.2.4, and 4.3.1 allows R
  39Наблюдать
• CVE-2019-12437In SilverStripe through 4.3.3, the previous fix for SS-2018-007 does not completely mitigate the risk of CSRF in GraphQL mutations,
  35Наблюдать
• CVE-2020-6164In SilverStripe through 4.5.0, a specific URL path configured by default through the silverstripe/framework module can be used to disclose t
  31Наблюдать
• CVE-2020-9280In SilverStripe through 4.5, files uploaded via Forms to folders migrated from Silverstripe CMS 3.x may be put to the default "/Uploads" fol
  31Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.