PT-2021-10761 · Npm · Express-Cart

Tuo4N8O · Publicado 2021-08-12 · Atualizado 2023-07-06 · CVE-2020-22403

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Express Cart versões 1.1.10 e anteriores

Express Cart versão 1.1.16

Descrição

Uma vulnerabilidade do tipo Cross Site Request Forgery (CSRF) permite que invasores criem uma conta de administrador, adicionem um código de desconto ou causem outros impactos não especificados. Esta vulnerabilidade afeta o pacote express-cart para Node.js.

Recomendações

Para as versões 1.1.10 e anteriores do Express Cart, atualize para uma versão posterior à 1.1.10 para resolver o problema.

Para a versão 1.1.16 do Express Cart, considere implementar mecanismos de proteção contra CSRF, como validação baseada em token, para impedir solicitações não autorizadas até que um patch esteja disponível.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-22403

GHSA-H5Q8-5697-9P9H

Produtos afetados

Express-Cart

Referências · 10

• 🔥 https://hackerone.com/reports/395944 · Exploit
• https://github.com/mrvautin/expressCart/issues/120 · Nota
• https://github.com/mrvautin/expressCart · Nota
• https://github.com/mrvautin/expressCart/commit/cd3ba1bc609c2f2946bfbc7ee2fccf3483eb71fb · Nota
• https://security.netapp.com/advisory/ntap-20210909-0004 · Nota
• https://osv.dev/vulnerability/GHSA-h5q8-5697-9p9h · Aviso do Fabricante
• https://npmjs.com/package/express-cart · Nota
• https://osv.dev/vulnerability/CVE-2020-22403 · Aviso do Fabricante
• https://t.me/cvenotify/19250 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-22403 · Nota de Segurança