Inicio / Alerta Temprana / Vulnerabilidades / CVE-2020-15135

Vulnerabilidad en mitigación de CSRF (tokens, etc.) en save-server (paquete npm) (CVE-2020-15135)

Tipo: 
Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)
Gravedad: 
Media
Fecha publicación : 
04/08/2020
Última modificación: 
10/08/2020
Descripción
save-server (paquete npm) anterior a la versión 1.05, está afectada por una vulnerabilidad de tipo CSRF, ya que no hay mitigación de CSRF (tokens, etc.). La corrección introducida en la versión 1.05 bloquea involuntariamente la carga, por lo que la versión v1.0.7 es la versión corregida. Esto es parcheado mediante la implementación de envío Doble. El ataque de tipo CSRF requeriría que navegues en un sitio malicioso mientras tienes una sesión activa con Save-Server (clave de sesión almacenada en las cookies). El usuario malicioso podría realizar algunas acciones, incluyendo la carga y eliminación de archivos y la adición de redireccionamientos. Si ha iniciado sesión como root, este ataque es significativamente más severo. Adicionalmente, pueden crear, eliminar y actualizar usuarios. Si actualizaran la contraseña de un usuario, los archivos de ese usuario estarían disponibles. Si se actualiza la contraseña de root, todos los archivos serían visibles si iniciaran sesión con la nueva contraseña. Tome cuenta que debido a la política del mismo origen, los actores maliciosos no pueden ver la galería ni la respuesta de ninguno de los métodos, ni asegurarse de que hayan tenido éxito. Este problema ha sido parcheado en la versión 1.0.7
Impacto
Vector de acceso: A través de red
Complejidad de Acceso: Media
Autenticación: No requerida para explotarla
Tipo de impacto: Afecta parcialmente a la integridad del sistema + Afecta parcialmente a la confidencialidad del sistema + Afecta parcialmente a la disponibilidad del sistema
Productos y versiones vulnerables
  • cpe:2.3:a:save-server_project:save-server:*:*:*:*:*:node.js:*:*
Para consultar la lista completa de productos y versiones ver esta página
Explicación de los campos