PT-2021-4289 · Fastapi+1 · Fastapi+1
Dima Boger
·
Publicado
2021-06-02
·
Atualizado
2024-02-12
·
CVE-2021-32677
CVSS v4.0
8.8
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do FastAPI anteriores à 0.65.2
Descrição
O problema está relacionado a um ataque de falsificação de solicitação entre sites (CSRF) no FastAPI, uma estrutura web para a criação de APIs com Python. Nas versões anteriores à 0.65.2, o FastAPI tentava ler a carga da solicitação como JSON, mesmo que o cabeçalho de tipo de conteúdo enviado não estivesse definido como application/json ou um tipo de mídia JSON compatível. Isso permitia que uma solicitação com tipo de conteúdo text/plain contendo dados JSON fosse aceita e que os dados JSON fossem extraídos. O navegador executaria essas solicitações imediatamente, incluindo cookies, e o conteúdo de texto poderia ser uma string JSON que seria analisada e aceita pelo aplicativo FastAPI.
Recomendações
Para resolver o problema, atualize para a versão mais recente do FastAPI.
Se a atualização não for possível, considere adicionar um middleware ou uma dependência que verifique o cabeçalho content-type e aborte a solicitação se ele não for application/json ou outro tipo de conteúdo JSON compatível.
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Fastapi