CVE-2023-31999
Açıklama
@fastify/oauth2'nin tüm sürümleri, başlangıç sırasında statik olarak oluşturulan bir state parametresi kullanıyordu ve bu parametre tüm kullanıcıların tüm istekleri boyunca kullanılıyordu. Oauth2 state parametresinin amacı, Siteler Arası İstek Sahteciliği (CSRF) saldırılarını önlemektir. Bu nedenle, her kullanıcı için benzersiz olmalı ve sunucunun bunu doğrulamasını sağlayacak şekilde kullanıcı oturumuyla ilişkilendirilmelidir. v7.2.0 sürümü, varsayılan davranışı değiştirerek state bilgisini http-only ve same-site=lax öznitelikleri ayarlanmış bir çerezde saklar. State artık varsayılan olarak her kullanıcı için ayrı ayrı oluşturulmaktadır. Bunun, artık tam Request nesnesini kabul eden checkStateFunction fonksiyonunda kritik bir değişikliğe (breaking change) yol açtığına dikkat edin.
Nasıl düzeltilir
- fastify oauth27.2.0 ya da sonraki bir sürüm
- @fastify/oauth27.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastify oauth2 | v < 7.2.0 | 7.2.0 |
| @fastify/oauth2npm | v < 7.2.0 | 7.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.