Spree Auth Devise vulnerability allows for authentication bypass through CSRF weakness

Deze CSRF-kwetsbaarheid stelt een aanvaller in staat om ongeautoriseerde acties uit te voeren namens een ingelogde gebruiker. Dit kan leiden tot volledige accountovername, inclusief het wijzigen van wachtwoorden, het aanpassen van profielgegevens en het uitvoeren van acties met de rechten van de gebruiker. De kwetsbaarheid is significant omdat het protectfromforgery mechanisme, dat bedoeld is om CSRF-aanvallen te voorkomen, niet correct is geconfigureerd in bepaalde scenario's, met name wanneer nullsession of resetsession strategieën worden gebruikt. Dit maakt het mogelijk voor een aanvaller om een kwaadaardige request te sturen die wordt uitgevoerd met de authenticatiegegevens van de gebruiker.

Applications built with Ruby on Rails that utilize the Spree Auth Devise gem, particularly those relying on the frontend component, are at risk. Specifically, applications using default configurations or those that have not explicitly configured protectfromforgery with robust settings are highly vulnerable. Shared hosting environments where application configurations are less controllable also present a heightened risk.

• ruby / server:

# Check for Spree Auth Devise version
require 'spree_auth_devise'
puts Spree::Auth::Devise.version

• ruby / server:

# Inspect application configuration for protect_from_forgery settings
# Look for configurations using :null_session or :reset_session

• generic web:

# Check for suspicious requests in access logs
# Look for requests with unexpected parameters or origins
grep -i 'spree_auth_devise' /var/log/nginx/access.log

1. 2021-11-18Disclosure

   disclosure

2. 2021-11-18Patch

   patch

1. Gereserveerd2021-09-15
2. Gepubliceerd2021-11-18
3. Gewijzigd2026-03-13
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar versie 4.4.1 of hoger van Spreeauthdevise. Als een directe upgrade niet mogelijk is, controleer dan de configuratie van protectfromforgery. Zorg ervoor dat protectfromforgery correct is ingesteld en dat de gebruikte sessiestrategieën (bijvoorbeeld nullsession of resetsession) geen onbedoelde beveiligingslekken introduceren. Implementeer aanvullende beveiligingsmaatregelen, zoals het verifiëren van de herkomst van requests en het gebruik van Content Security Policy (CSP) om de impact van CSRF-aanvallen te beperken. Na de upgrade, controleer de applicatielogboeken op verdachte CSRF-gerelateerde activiteit.