CVE-2021-41274

solidus_auth_devise, Devise gem'ini kullanarak Solidus web mağazası çerçevesi için kimlik doğrulama hizmetleri sağlar. Etkilenen sürümlerde solidus_auth_devise, kullanıcı hesaplarının ele geçirilmesine izin veren bir CSRF zafiyetine sahiptir. `solidus_auth_devise` bileşeninin ön yüzünün herhangi bir sürümünü kullanan tüm uygulamalar, eğer `protect_from_forgery` yöntemi hem şunları sağlıyorsa etkilenir: `Spree::UserController` içindeki `:load_object` kancasından önce ister bir `before_action` geri çağırması (varsayılan) veya bir `prepend_before_action` (`prepend: true` seçeneği verilmişse) olarak çalıştırılmışsa; ve `:null_session` veya `:reset_session` stratejilerini kullanacak şekilde yapılandırılmışsa (`:null_session`, herhangi bir strateji belirtilmediğinde varsayılandır ancak `rails --new` tarafından oluşturulan iskelet `:exception` kullanır). Kullanıcılar derhal `solidus_auth_devise` sürüm `2.5.4`e güncellenmelidir. Güncelleme yapamayan kullanıcılar, mümkünse stratejilerini `:exception` olarak değiştirmelidir. Daha fazla geçici çözüm detayı için lütfen bağlantılı GHSA'ya bakınız.