CVE-2017-16570

Wysokie

Opublikowano: 06/11/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

KeystoneJS w wersjach przed 4.0.0-beta.7 umożliwia obejście ochrony CSRF w aplikacji poprzez usunięcie parametru i wartości CSRF. Problem ten polega na tym, że nie odrzuca żądań, które nie zawierają nagłówka x-csrf-token.

Ocena ryzyka

Brak odpowiedniej ochrony przed atakami CSRF może prowadzić do nieautoryzowanego działania w aplikacji, co zagraża bezpieczeństwu danych użytkowników.

Rekomendacja

Zaleca się aktualizację KeystoneJS do wersji 4.0.0-beta.7 lub nowszej, aby zabezpieczyć aplikację przed tym rodzajem ataku.

Inne podatności w KeystoneJS

CVE-2017-15879Wysokie
W KeystoneJS przed wersją 4.0.0-beta.7 występuje podatność na atak CSV Injection, która może być wykorzystana poprzez niewłaściwie obsługiwane wartości w eksporcie CSV.

Oryginalny opis (angielski, źródło NVD)

KeystoneJS before 4.0.0-beta.7 allows application-wide CSRF bypass by removing the CSRF parameter and value, aka SecureLayer7 issue number SL7_KEYJS_03. In other words, it fails to reject requests that lack an x-csrf-token header.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS