Cross-site request forgery (CSRF) vulnerability in the CentralAuth extension for MediaWiki before 1.19.9, 1.20.x before 1.20.8, and 1.21.x b

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• mediawiki mediawikiдо 1.19.8 включительно
• mediawiki mediawiki1.19
• mediawiki mediawiki1.19.0
• mediawiki mediawiki1.19.1
• mediawiki mediawiki1.19.2
• mediawiki mediawiki1.19.3
• mediawiki mediawiki1.19.4
• mediawiki mediawiki1.19.5
• mediawiki mediawiki1.19.6
• mediawiki mediawiki1.19.7
• mediawiki mediawiki1.20
• mediawiki mediawiki1.20.1
• mediawiki mediawiki1.20.2
• mediawiki mediawiki1.20.3
• mediawiki mediawiki1.20.4
• mediawiki mediawiki1.20.5
• mediawiki mediawiki1.20.6
• mediawiki mediawiki1.20.7
• mediawiki mediawiki1.21
• mediawiki mediawiki1.21.1

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-29904The SemanticDrilldown extension for MediaWiki through 1.37.2 (before e688bdba6434591b5dff689a45e4d53459954773) allows SQL injection with cer
  44В плане
• CVE-2017-0372Parameters injection in SyntaxHighlight results in multiple vulnerabilities
  42В плане
• CVE-2017-8809api.php in MediaWiki before 1.27.4, 1.28.x before 1.28.3, and 1.29.x before 1.29.2 has a Reflected File Download vulnerability.
  41В плане
• CVE-2019-12468An Incorrect Access Control vulnerability was found in Wikimedia MediaWiki 1.27.0 through 1.32.1.
  40В плане
• CVE-2014-9487The getid3 library in MediaWiki before 1.24.1, 1.23.8, 1.22.15 and 1.19.23 allows remote attackers to read arbitrary files, cause a denial o
  40В плане
• CVE-2015-8009The MWOAuthDataStore::lookup_token function in Extension:OAuth for MediaWiki 1.25.x before 1.25.3, 1.24.x before 1.24.4, and before 1.23.11
  40В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.