Cross-site request forgery (CSRF) vulnerability in the ShareThis module 7.x-2.x before 7.x-2.3 for Drupal allows remote attackers to hijack

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• rob loach sharethis7.x-2.0
• rob loach sharethis7.x-2.1
• rob loach sharethis7.x-2.2

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-7602Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-004KEV
  99Срочно
• CVE-2018-7600Drupal before 7.58, 8.x before 8.3.9, 8.4.x before 8.4.6, and 8.5.x before 8.5.1 allows remote attackers to execute arbitrary code because oKEV
  99Срочно
• CVE-2019-6340Drupal core - Highly critical - Remote Code ExecutionKEV
  90Срочно
• CVE-2020-13671Drupal core does not properly sanitize certain filenames on uploaded files, which can lead to files being interpreted as the incorrect extenKEV
  76На этой неделе
• CVE-2026-9082Drupal core - Highly critical - SQL injection - SA-CORE-2026-004KEV
  74На этой неделе
• CVE-2014-3704The expandArguments function in the database abstraction API in Drupal core 7.x before 7.32 does not properly construct prepared statements,
  60На этой неделе

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.