JVNDB-2024-029800

 saleorにおけるクロスサイトリクエストフォージェリの脆弱性

Saleorはeコマースプラットフォームです。バージョン3.10.0以降、3.14.64、3.15.39、3.16.39、3.17.35、3.18.31、および3.19.19より前のバージョンには、攻撃者が空文字列を使用してリフレッシュトークンミューテーションを呼び出すことで、クロスサイトリクエストフォージェリ（CSRF）検証を回避できる可能性があります。ユーザーが「refreshToken」ミューテーションに空文字列を指定し、「JWT_REFRESH_TOKEN_COOKIE_NAME」クッキーにトークンが保存されている場合、アプリケーションはCSRFトークンの検証を省略し、正当なアクセストークンを返します。この問題は、バージョン3.14.64、3.15.39、3.16.39、3.17.35、3.18.31、3.19.19で修正されました。回避策として、「saleor.graphql.account.mutations.authentication.refresh_token.py.get_refresh_token」を置き換える方法がありますが、この方法では「JWT_INVALID_TOKEN」ではなく「JWT_MISSING_TOKEN」が返される点に注意する必要があります。

saleor

• saleor 3.10.0 以上 3.14.64 未満
• saleor 3.15.0 以上 3.15.39 未満
• saleor 3.16.0 以上 3.16.39 未満
• saleor 3.17.0 以上 3.17.35 未満
• saleor 3.18.0 以上 3.18.31 未満
• saleor 3.19.0 以上 3.19.19 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : CSRF bypass in refreshToken mutation  Advisory  saleor/saleor  GitHub

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2024-31205

1. National Vulnerability Database (NVD) : CVE-2024-31205
2. 関連文書 : Advisory fix merx-280.  saleor/saleor@36699c6  GitHub

• [2026年01月09日]
    掲載