Vulnerabilità: CVE-2020-15135

Salva-server (package NPM) prima della versione 1.05 è affetto da una vulnerabilità CSRF, in quanto non v’è alcuna mitigazione CSRF (gettoni, ecc). La correzione introdotto nella versione versione 1.05 rompe involontariamente caricando così la versione v1.0.7 è la versione fissa. Questo è patchato implementando doppio submit. L’attacco CSRF richiederebbe di navigare a un sito dannoso, mentre si ha una sessione attiva con Save-Server (chiave di sessione memorizzata nei cookie). L’utente malintenzionato sarebbe quindi in grado di eseguire alcune azioni, tra cui il caricamento / eliminazione di file e l’aggiunta di reindirizzamenti. Se si è connessi come root, questo tipo di attacco è molto più grave. Essi possono inoltre creare, eliminare e gli utenti di aggiornamento. Se hanno aggiornato la password di un utente, file dell’utente sarebbero quindi disponibili. Se la password di root viene aggiornato, tutti i file sarebbero visibili se si fosse collegato con la nuova password. Nota che a causa della stessa politica di origine attori maligni non possono visualizzare la galleria o la risposta di uno dei metodi, né essere sicuri che è riuscito. Questo problema è stato aggiornato nella versione 1.0.7.


https://github.com/Neztore/save-server/security/advisories/GHSA-wwrj-35w6-77ff
https://github.com/Neztore/save-server/security/advisories/GHSA-wwrj-35w6-77ff
https://medium.com/cross-site-request-forgery-csrf/double-submit-cookie-pattern-65bb71d80d9f
https://medium.com/cross-site-request-forgery-csrf/double-submit-cookie-pattern-65bb71d80d9f
https://www.npmjs.com/package/save-server
https://www.npmjs.com/package/save-server
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-15135


E' possibile lasciare un commento come utenti registrati al sito, accedendo tramite social, account wordpress oppure come utenti anonimi. Nel caso in cui si desideri lasciare un commento come utenti anonimi si verrà avvisati via email di un'eventuale risposta solo se si inserisce l'indirizzo email (facoltativo). L'inserimento di qualsiasi dato nei campi dei commenti è totalmente facoltativo. Chiunque decida di inserire un qualsiasi dato accetta il trattamento di questi ultimi per i fini inerenti al servizio ovvero la risposta al commento e le comunicazioni strettamente necessarie.


Rispondi