Vulnerabilidade no Spree Auth Devise permite bypass de autenticação através de fraqueza CSRF

A exploração bem-sucedida da vulnerabilidade CSRF em spreeauthdevise permite que um atacante realize ações como alterar senhas, atualizar informações de perfil e efetuar compras em nome do usuário autenticado, sem o seu consentimento. Isso pode resultar em roubo de informações pessoais, perdas financeiras e comprometimento da integridade do sistema. A vulnerabilidade é particularmente grave porque afeta a autenticação e autorização, que são componentes críticos de segurança de qualquer aplicação web. A combinação de protectfromforgery mal configurado e o uso de estratégias de sessão nullsession ou resetsession agrava o risco, permitindo que um atacante contorne as proteções CSRF padrão.

Applications built with Ruby on Rails that utilize the Spree Auth Devise gem, particularly those relying on the frontend component, are at risk. Specifically, applications using default configurations or those that have not explicitly configured protectfromforgery with robust settings are highly vulnerable. Shared hosting environments where application configurations are less controllable also present a heightened risk.

• ruby / server:

# Check for Spree Auth Devise version
require 'spree_auth_devise'
puts Spree::Auth::Devise.version

• ruby / server:

# Inspect application configuration for protect_from_forgery settings
# Look for configurations using :null_session or :reset_session

• generic web:

# Check for suspicious requests in access logs
# Look for requests with unexpected parameters or origins
grep -i 'spree_auth_devise' /var/log/nginx/access.log

1. 2021-11-18Disclosure

   disclosure

2. 2021-11-18Patch

   patch

1. Reservado2021-09-15
2. Publicada2021-11-18
3. Modificada2026-03-13
4. EPSS atualizado2026-04-02

A mitigação primária para a vulnerabilidade CVE-2021-41275 é atualizar o componente spreeauthdevise para a versão 4.4.1 ou superior, que inclui a correção para a falha CSRF. Se a atualização imediata não for possível, considere implementar medidas de proteção adicionais, como a validação rigorosa de todos os parâmetros de entrada e a utilização de tokens CSRF em todos os formulários. Além disso, revise a configuração de protectfromforgery para garantir que esteja configurado corretamente e que as estratégias de sessão adequadas estejam sendo utilizadas. Após a atualização, confirme a correção verificando se os formulários estão protegidos contra ataques CSRF e se as ações sensíveis exigem autenticação adequada.