CVE-2023-27495 in csrf-protection
Riassunto
di VulDB • 17/06/2026
@fastify/csrf-protection è un plugin che aiuta a proteggere i server Fastify dagli attacchi CSRF. La protezione CSRF applicata dalla libreria @fastify/csrf-protection in combinazione con @fastify/cookie può essere aggirata da attaccanti di rete e same-site (stesso sito) in determinate condizioni.
@fastify/csrf-protection supporta un parametro facoltativo `userInfo` che associa il token CSRF all'utente. Questo parametro è stato introdotto per prevenire gli attacchi cookie-tossing come correzione per CVE-2021-29624. Qualora il parametro `userInfo` sia assente o il suo valore possa essere previsto per l'account utente target, gli attaccanti di rete e same-site possono: 1. fissare un cookie `_csrf` nel browser della vittima; e 2. falsificare token CSRF validi per la sessione della vittima. Ciò consente agli attaccanti di aggirare il meccanismo di protezione CSRF.
Come correzione, a partire dalla versione 6.3.0 (e v4.1.0), @fastify/csrf-protection include un `hmacKey` segreto definito dal server che associa crittograficamente il token CSRF al valore del cookie `_csrf` e al parametro `userInfo`, rendendo i token non falsificabili dagli attaccanti. Questa protezione è efficace purché il parametro `userInfo` sia unico per ogni utente. La vulnerabilità è stata risolta nelle versioni 6.3.0 e v4.1.0. Si consiglia agli utenti di effettuare l'aggiornamento. Gli utenti che non possono aggiornare possono utilizzare un parametro `userInfo` casuale e non prevedibile per ciascun utente come misura di mitigazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.