PT-2024-40138 · Sensiolabs · Sensiolabs/Connect

Publicado 2024-05-21 · Atualizado 2024-05-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas:

sensiolabs/connect versões anteriores à 4.2.3

Descrição:

O problema está relacionado a uma vulnerabilidade de falsificação de solicitação entre sites (CSRF). Ela ocorre devido à ausência do parâmetro state nas solicitações OAuth, o que expõe as aplicações a ataques CSRF durante o fluxo de autenticação OAuth.

Recomendações:

Para versões anteriores à 4.2.3, atualize para a versão 4.2.3 ou posterior para resolver o problema. Como solução temporária, considere implementar o tratamento adequado do parâmetro state nas solicitações OAuth para prevenir ataques CSRF.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

GHSA-6WQP-7G94-F69J

Produtos afetados

Sensiolabs/Connect

Referências · 5

• https://github.com/FriendsOfPHP/security-advisories/blob/master/sensiolabs/connect/2018-06-08-1.yaml · Nota
• https://github.com/symfonycorp/connect/commit/9522aa774e8a0f8a61e709d828e6cc34c4c1e703 · Nota
• https://github.com/symfonycorp/connect · Nota
• https://github.com/sensiolabs/connect/pull/63 · Nota
• https://osv.dev/vulnerability/GHSA-6wqp-7g94-f69j · Aviso do Fabricante