PT-2026-117386 · Npm · @Fastify/Oauth2
CVSS v3.1
4.2
Média
| Vetor | AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
@fastify/oauth2 versões 7.2.0 through 8.3.1
Description
Em rotas de login com dois ou mais segmentos de caminho, os cookies de state e code-verifier são definidos sem o atributo Path. Como a etapa de limpeza no callback do OAuth utiliza um caminho raiz, os cookies originais não são removidos. Isso permite que um valor de state obtido por um invasor permaneça válido durante a sessão do navegador, possibilitando um ataque de login CSRF (Cross-Site Request Forgery), no qual o invasor pode conduzir o fluxo de autorização no navegador da vítima para conectá-la à conta do invasor.
Recommendations
Atualize o @fastify/oauth2 para a versão 8.3.2 ou posterior.
Como solução temporária, defina um caminho de cookie explícito para garantir que as operações de definição e limpeza afetem o mesmo cookie.
Correção
CSRF
Insufficient Session Expiration
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
@Fastify/Oauth2