PT-2020-21558 · Shopify · Polaris-React

Publicado 2020-08-05 · Atualizado 2020-08-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Polaris-React anteriores à 1.1.1

Descrição

Uma vulnerabilidade CSRF permite que um invasor altere as configurações do usuário em circunstâncias específicas. Para isso, o invasor precisa que o usuário acesse um site malicioso enquanto estiver conectado ao painel. O invasor não consegue verificar se a alteração foi bem-sucedida nem ler as configurações do usuário.

Recomendações

Para versões anteriores à 1.1.1, atualize para a versão 1.1.1 ou posterior, que implementa o padrão Double Submit usando um cookie para corrigir esse problema.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

GHSA-WHRH-9J4Q-G7PH

Produtos afetados

Polaris-React

Referências · 8

• https://github.com/polaris-rbx/Polaris-React · Nota
• https://github.com/polaris-rbx/Polaris-React/security/advisories/GHSA-whrh-9j4q-g7ph · Nota
• https://github.com/polaris-rbx/Polaris-React/commit/b64673d91e83c0737616a0770d8208727730808b · Nota
• https://barracuda.com/glossary/csrf · Nota
• https://osv.dev/vulnerability/GHSA-whrh-9j4q-g7ph · Aviso do Fabricante
• https://medium.com/cross-site-request-forgery-csrf/double-submit-cookie-pattern-65bb71d80d9f · Nota
• https://owasp.org/www-community/attacks/csrf · Nota
• https://snyk.io/vuln/SNYK-JS-POLARISWEBSITE-597473 · Nota