CVE-2019-25091lowCWE-1004

CVE-2019-25091: fallo de gravedad baja en nsupdate.info

nsupdate.info CSRF Cookie base.py cookie httponly flag

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear nsupdate.info+ Monitorear nsupdate

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 3.7epss 0.7%
En resumen

La cookie de protección CSRF de nsupdate.info carecía de la bandera 'httponly', lo que permite que código JavaScript la acceda. Esto aumenta el riesgo de robo de cookies mediante ataques de inyección de scripts.

Detalle técnico

La configuración CSRF_COOKIE_HTTPONLY en src/nsupdate/settings/base.py no estaba correctamente configurada, permitiendo que las cookies de protección CSRF fueran accesibles mediante JavaScript. Un atacante explotando vulnerabilidades de XSS podría robar tokens de sesión. El problema se corrigió en el commit 60a3fe559c453bc36b0ec3e5dd39c1303640a59a.

Resumen generado y traducido por IA a partir de la descripción oficial.
A vulnerability classified as problematic has been found in nsupdate.info. This affects an unknown part of the file src/nsupdate/settings/base.py of the component CSRF Cookie Handler. The manipulation of the argument CSRF_COOKIE_HTTPONLY leads to cookie without 'httponly' flag. It is possible to initiate the attack remotely. The name of the patch is 60a3fe559c453bc36b0ec3e5dd39c1303640a59a. It is recommended to apply a patch to fix this issue. The identifier VDB-216909 was assigned to this vulnerability.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Productos afectados
n/a · nsupdate.info