Multiple WordPress themes affected by Cross-Site Request Forgery vulnerability

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Patchstack). Не зависят от анализа CPE в NVD и обычно опережают его.

• Hidekazu Ishikawa Lightning

  • n/a и новее · до 15.18.0 включительнозатронутаисправлено в 15.19.0

• Hidekazu Ishikawa X-T9

  • n/a и новее · до 1.19.0 включительнозатронутаисправлено в 1.19.1

• Jetmonsters Emmet Lite

  • n/a и новее · до 1.7.5 включительнозатронутаисправлено в 1.7.8

• Macho Themes Decode

  • n/a и новее · до 3.15.3 включительнозатронута

• Marsian i-excel

  • n/a и новее · до 1.7.9 включительнозатронута

• Marsian i-max

  • n/a и новее · до 1.6.2 включительнозатронута

• Modernthemesnet Gridsby

  • n/a и новее · до 1.3.0 включительнозатронута

• Modernthemesnet Sensible WP

  • n/a и новее · до 1.3.1 включительнозатронута

• Out the Box CityLogic

  • n/a и новее · до 1.1.29 включительнозатронутаисправлено в 1.1.30

• Out the Box Namaha

  • n/a и новее · до 1.0.40 включительнозатронутаисправлено в 1.0.41

• Out the Box Panoramic

  • n/a и новее · до 1.1.56 включительнозатронутаисправлено в 1.1.57

• Out the Box Shopstar!

  • n/a и новее · до 1.1.33 включительнозатронутаисправлено в 1.1.34

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.