PT-2021-18374 · Unknown · Fastify-Csrf

Xhelal Likaj · Publicado 2021-05-17 · Atualizado 2023-05-02 · CVE-2021-29624

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do fastify-csrf anteriores à 3.1.0

Descrição

O problema afeta aplicativos que utilizam o plugin fastify-csrf com o mecanismo de “envio duplo”, especialmente aqueles implantados em vários subdomínios. Para implementar a proteção de forma completa, os usuários do módulo devem fornecer um userInfo ao gerar o token CSRF, o que é necessário para aplicativos hospedados em diferentes subdomínios.

Recomendações

Para versões anteriores à 3.1.0, atualize para a versão 3.1.0 para corrigir o problema.

Como solução temporária, considere fornecer um userInfo ao gerar o token CSRF para aumentar a proteção, especialmente para aplicativos hospedados em diferentes subdomínios.

Correção

CSRF

Enumeração de Fraquezas

CWE-565

CWE-352

Identificadores relacionados

CVE-2021-29624

GHSA-QRGF-9GPC-VRXW

GHSA-RC4Q-9M69-GQP8

Produtos afetados

Fastify-Csrf

Referências · 21

• https://github.com/fastify/fastify-csrf/pull/51 · Correção
• https://github.com/fastify/fastify-csrf/security/advisories/GHSA-rc4q-9m69-gqp8 · Correção
• https://github.com/fastify/fastify-csrf/releases/tag/v3.1.0 · Nota
• https://github.com/fastify/csrf-protection/security/advisories/GHSA-qrgf-9gpc-vrxw · Nota
• https://github.com/fastify/csrf-protection/releases/tag/v4.1.0 · Nota
• https://github.com/fastify/csrf-protection/commit/be3e5761f37aa05c7c1ac8ed44499c51ecec8058 · Nota
• https://github.com/fastify/csrf-protection · Nota
• https://github.com/fastify/csrf-protection/security/advisories/GHSA-rc4q-9m69-gqp8 · Nota
• https://github.com/fastify/csrf-protection/releases/tag/v6.3.0 · Nota
• https://github.com/fastify/csrf/pull/2 · Correção
• https://osv.dev/vulnerability/CVE-2021-29624 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rc4q-9m69-gqp8 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qrgf-9gpc-vrxw · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-29624 · Nota de Segurança
• https://t.me/cvenotify/49585 · Publicação no Telegram