PT-2021-11545 · Unknown · Fastify-Csrf

Matteo Collina · Publicado 2021-01-19 · Atualizado 2021-01-27 · CVE-2020-28482

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

versões do fastify-csrf anteriores à 3.0.0

Descrição:

A vulnerabilidade afeta o pacote fastify-csrf, no qual o cookie gerado utiliza configurações padrão inseguras e não possui o sinalizador httpOnly, conforme observado em cookieOpts: { path: ‘/’, sameSite: true }. Além disso, o token CSRF está disponível no parâmetro de consulta GET. Esse conjunto de problemas compromete a capacidade do pacote de fornecer proteção contra CSRF.

Recomendações:

Para versões anteriores à 3.0.0, atualize para a versão 3.0.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere definir o sinalizador httpOnly no cookie e restringir o acesso ao token CSRF no parâmetro de consulta GET.

Correção

Information Disclosure

Incorrect Permission

CSRF

Enumeração de Fraquezas

CWE-200

CWE-732

CWE-352

Identificadores relacionados

CVE-2020-28482

GHSA-49WP-QQ6X-G2RF

SNYK-JS-FASTIFYCSRF-1062044

Produtos afetados

Fastify-Csrf

Referências · 9

• https://github.com/fastify/fastify-csrf/pull/26 · Nota
• https://github.com/fastify/fastify-csrf/commit/3c9de36e9e73ce0eda9207f84f2ac0243e1f5253 · Nota
• https://github.com/fastify/fastify-csrf · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-28482 · Nota de Segurança
• https://t.me/cibsecurity/22267 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-49wp-qq6x-g2rf · Aviso do Fabricante
• https://npmjs.com/package/fastify-csrf · Nota
• https://snyk.io/vuln/SNYK-JS-FASTIFYCSRF-1062044 · Nota
• https://osv.dev/vulnerability/CVE-2020-28482 · Aviso do Fabricante