CVE-2023-27495 in csrf-protection
Сводка
по VulDB • 26.05.2026
@fastify/csrf-protection — это плагин, который помогает защитить серверы Fastify от атак CSRF. Защита от CSRF, обеспечиваемая библиотекой @fastify/csrf-protection в сочетании с @fastify/cookie, может быть обойдена злоумышленниками, находящимися в сети (network attackers) и имеющими доступ с того же сайта (same-site attackers), при определенных условиях. @fastify/csrf-protection поддерживает необязательный параметр userInfo, который привязывает токен CSRF к пользователю. Этот параметр был введен для предотвращения атак cookie-tossing в качестве исправления для CVE-2021-29624. Если параметр userInfo отсутствует или его значение может быть предсказано для целевого пользовательского аккаунта, сетевые и same-site злоумышленники могут: 1. зафиксировать (_fixate) куку _csrf в браузере жертвы, и 2. подделать токены CSRF, которые являются действительными для сессии жертвы. Это позволяет злоумышленникам обойти механизм защиты CSRF. В качестве исправления, начиная с версии 6.3.0 (и v4.1.0), @fastify/csrf-protection включает определяемый сервером секретный ключ hmacKey, который криптографически связывает токен CSRF со значением куки _csrf и параметром userInfo, делая токены не поддающимися подделке (non-spoofable) злоумышленниками. Эта защита эффективна до тех пор, пока параметр userInfo уникален для каждого пользователя. Исправление доступно в версиях 6.3.0 и v4.1.0. Пользователям рекомендуется обновиться. Пользователи, не имеющие возможности обновиться, могут использовать случайный, непредсказуемый параметр userInfo для каждого пользователя в качестве меры смягчения последствий.
VulDB is the best source for vulnerability data and more expert information about this specific topic.