Une vulnérabilité dans Spree Auth Devise permet un contournement de l'authentification via une faiblesse CSRF

La vulnérabilité CSRF dans Spree Auth Devise permet à un attaquant d'exploiter le mécanisme protectfromforgery de Rails. Si protectfromforgery est configuré avec la stratégie :nullsession (par défaut) ou :resetsession et exécuté comme un beforeaction ou prependbeforeaction avant le hook :loadobject dans Spree::UserController, un attaquant peut créer des requêtes malveillantes qui seront exécutées avec les privilèges de l'utilisateur authentifié. Cela peut conduire à des modifications non autorisées du compte utilisateur, des achats frauduleux, ou d'autres actions malveillantes. L'attaquant n'a besoin que de tromper l'utilisateur pour qu'il visite une page web malveillante contenant la requête CSRF.

Applications built with Ruby on Rails that utilize the Spree Auth Devise gem, particularly those relying on the frontend component, are at risk. Specifically, applications using default configurations or those that have not explicitly configured protectfromforgery with robust settings are highly vulnerable. Shared hosting environments where application configurations are less controllable also present a heightened risk.

• ruby / server:

# Check for Spree Auth Devise version
require 'spree_auth_devise'
puts Spree::Auth::Devise.version

• ruby / server:

# Inspect application configuration for protect_from_forgery settings
# Look for configurations using :null_session or :reset_session

• generic web:

# Check for suspicious requests in access logs
# Look for requests with unexpected parameters or origins
grep -i 'spree_auth_devise' /var/log/nginx/access.log

1. 2021-11-18Disclosure

   disclosure

2. 2021-11-18Patch

   patch

1. Réservé2021-09-15
2. Publiée2021-11-18
3. Modifiée2026-03-13
4. EPSS mis à jour2026-04-02

La solution principale est de mettre à jour Spree Auth Devise vers la version 4.4.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, plusieurs mesures de mitigation peuvent être appliquées. Il est crucial de vérifier la configuration de protectfromforgery et de s'assurer qu'elle n'utilise pas la stratégie :null_session si elle n'est pas absolument nécessaire. L'utilisation d'un Web Application Firewall (WAF) peut aider à bloquer les requêtes CSRF malveillantes. Enfin, une validation stricte des entrées utilisateur et l'utilisation de tokens CSRF robustes sont des bonnes pratiques de sécurité qui peuvent réduire le risque d'exploitation.