Cross-site request forgery (CSRF) vulnerability in Movable Type series (Movable Type 7 r.4606 (7.2.1) and earlier (Movable Type 7), Movable

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• sixapart movable typeдо 1.29 включительно
• sixapart movable type6.3 и новее · до 6.3.11 включительно
• sixapart movable type6.5.0 и новее · до 6.5.3 включительно
• sixapart movable type7.0 и новее · до 7.2.1 включительно

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (jpcert). Не зависят от анализа CPE в NVD и обычно опережают его.

• Six Apart Ltd. Movable Type

  • Movable Type 7 r.4606 (7.2.1) and earlier (Movable Type 7), Movable Type Advanced 7 r.4606 (7.2.1) and earlier (Movable Type Advanced 7), Movable Type for AWS 7 r.4606 (7.2.1) and earlier (Movable Typзатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-20837Movable Type 7 r.5002 and earlier (Movable Type 7 Series), Movable Type 6.8.2 and earlier (Movable Type 6 Series), Movable Type Advanced 7 r
  65На этой неделе
• CVE-2013-0209lib/MT/Upgrade.pm in mt-upgrade.cgi in Movable Type 4.2x and 4.3x through 4.38 does not require authentication for requests to database-migr
  44В плане
• CVE-2022-38078Movable Type XMLRPC API provided by Six Apart Ltd.
  40В плане
• CVE-2009-0752Unspecified vulnerability in Movable Type Pro and Community Solution 4.x before 4.24 has unknown impact and attack vectors, possibly related
  40В плане
• CVE-2016-5742SQL injection vulnerability in the XML-RPC interface in Movable Type Pro and Advanced 6.x before 6.1.3 and 6.2.x before 6.2.6 and Movable Ty
  39Наблюдать
• CVE-2026-25776Movable Type provided by Six Apart Ltd.
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.