Cross-Site Request Forgery (CSRF) in keystone

高 8.8CVE-2017-16570 · GHSA-q43c-g2g7-6gxj · 06/11/2017 公開 · 17/06/2026 更新

要点

CVE-2017-16570 は keystone (keystonejs), keystone に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.2%（全脆弱性の 82.6% より高い）。
対処：4.0.0, 4.0.0-beta.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
keystone keystonejs	`< 4.0.0`	`4.0.0`
keystone npm	`< 4.0.0-beta.7`	`4.0.0-beta.7`

概要

Versions of keystone prior to 4.0.0 are vulnerable to Cross-Site Request Forgery (CSRF). The package fails to validate the presence of the X-CSRF-Token header, which may allow attackers to carry actions on behalf of other users on all endpoints.

Recommendation

Update to version 4.0.0 or later.

NVD の説明

KeystoneJS before 4.0.0-beta.7 allows application-wide CSRF bypass by removing the CSRF parameter and value, aka SecureLayer7 issue number SL7_KEYJS_03. In other words, it fails to reject requests that lack an x-csrf-token header.