Axios XSRF-TOKEN CSRF漏洞 (CVE-2023-45857)

漏洞类型 侵犯隐私 发现时间 2023-11-09 漏洞等级 高危
MPS编号 MPS-v3q7-sjd2 CVE编号 CVE-2023-45857 漏洞影响广度 广

漏洞危害

OSCS 描述
Axios 是一个基于 Promise 的浏览器和 Node.js 的 HTTP 客户端。
在 Axios 受影响版本中,当 XSRF-TOKEN cookie 可用且 withCredentials 设置打开时,该库会在对任何服务器的所有请求中将 XSRF-TOKEN cookie 值插入 X-XSRF-TOKEN 标头。攻击者可以通过构造链接、页面等方式诱导受害者点击,以受害者的身份执行未经授权的操作,可能导致账户被接管、数据泄露等安全问题。
参考链接:https://www.oscs1024.com/hd/MPS-v3q7-sjd2

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
axios (-∞, 1.6.0) 更新 将组件 axios到 1.6.0 或更高版本
参考链接:https://www.oscs1024.com/hd/MPS-v3q7-sjd2

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-v3q7-sjd2

https://github.com/axios/axios/issues/6006

https://nvd.nist.gov/vuln/detail/CVE-2023-45857

https://github.com/axios/axios/pull/6028/commits/53817f84e5538e5635df569f23d8cafa3953fb85

https://github.com/axios/axios/pull/6028/commits/677c015728af2d81e4957069bcd2f6d0136aee9f

https://github.com/axios/axios/pull/6028

(0)
上一篇 2023年11月10日 下午12:00
下一篇 2023年11月10日 下午12:00

相关推荐

  • GoAnywhere MFT 存在未授权创建管理员风险 (CVE-2024-0204)

    漏洞类型 直接请求(强制性浏览) 发现时间 2024-01-23 漏洞等级 严重 MPS编号 MPS-1vbo-mr9c CVE编号 CVE-2024-0204 漏洞影响广度 一般 漏洞危害 OSCS 描述 GoAnywhere MFT 是一个管理文件传输的解决方案。 GoAnywhere MFT 7.4.1之前版本中,未经过身份验证的攻击者可通过 Admi…

    2024年1月23日
    0
  • Apache OFBiz 目录遍历导致RCE漏洞 (CVE-2024-32113)

    漏洞类型 路径遍历 发现时间 2024-05-08 漏洞等级 严重 MPS编号 MPS-whuo-m9s3 CVE编号 CVE-2024-32113 漏洞影响广度 极小 漏洞危害 OSCS 描述 Apache OFBiz 是一个开源的企业资源计划系统,OFBiz支持运行Groovy代码用于编程导出数据。 在18.12.13之前的版本中,ControlFilt…

    漏洞 2024年5月10日
    0
  • Apache OFBiz 任意文件读取和 SSRF 漏洞 (CVE-2023-50968)

    漏洞类型 SSRF 发现时间 2023-12-26 漏洞等级 中危 MPS编号 MPS-e3rj-bani CVE编号 CVE-2023-50968 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache OFBiz 是一个开源的企业资源计划系统。 在 getJSONuiLabelArray 接口的处理方法 CommonEvents.java#getJS…

    2023年12月28日
    0
  • Apache Airflow信息泄漏漏洞 (CVE-2023-45348)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-10-14 漏洞等级 高危 MPS编号 MPS-ovuh-jial CVE编号 CVE-2023-45348 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Airflow是一个开源的、分布式的任务调度和工作流自动化平台,可用于编排、调度和监控数据处理任务和数据流。”expose_co…

    2023年10月16日
    0
  • Apache Superset where_in SQL注入漏洞 (CVE-2023-49736)

    漏洞类型 SQL注入 发现时间 2023-12-20 漏洞等级 中危 MPS编号 MPS-7r6y-8nmd CVE编号 CVE-2023-49736 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个数据可视化和数据探索平台。 Apache Superset 中存在一个名为 where_in 的 JINJA 宏,where_…

    2023年12月20日
    0