PT-2020-19881 · Marshmallow · Webargs
Publicado
2020-01-29
·
Atualizado
2021-04-07
·
CVE-2020-7965
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Webargs versões 5.x a 5.5.2
Descrição
O problema decorre da falha na verificação do cabeçalho Content-Type como application/json ao receber entradas JSON. Isso permite que o software aceite solicitações JSON válidas mesmo que o tipo de conteúdo seja especificado como application/x-www-form-urlencoded, possibilitando que solicitações JSON POST sejam feitas entre domínios e levando a ataques de falsificação de solicitação entre sites (CSRF).
Recomendações
Para as versões 5.x a 5.5.2, considere atualizar para uma versão que inclua uma correção para este problema, pois a versão atual não valida corretamente o cabeçalho Content-Type para entradas JSON.
Como solução alternativa temporária, considere restringir o acesso a pontos de extremidade JSON para minimizar o risco de ataques CSRF até que um patch esteja disponível.
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Webargs