Flask Middleware Flask-security 跨站请求伪造漏洞

漏洞介绍

Flask Middleware Flask-security是Flask Middleware组织的一个基于Python的可为Flask应用提供安全功能的代码库。

Flask Middleware Flask-security 版本3.3.0 至 3.4.5版本中存在跨站请求伪造漏洞。该漏洞源于在用户可通过GET请求 /login and /change 获得验证Token，使CSRF token的安全性无法保障。

漏洞补丁

目前厂商已发布升级了Flask Middleware Flask-security 跨站请求伪造漏洞的补丁，Flask Middleware Flask-security 跨站请求伪造漏洞的补丁获取链接：

https://github.com/Flask-Middleware/flask-security/commit/6d50ee9169acf813257c37b75babe9c28e83542a

参考网址

来源:MISC

链接：https://github.com/Flask-Middleware/flask-security/commit/61d313150b5f620d0b800896c4f2199005e84b1f

来源:MISC

链接：https://github.com/Flask-Middleware/flask-security/pull/422

来源:MISC

链接：https://github.com/Flask-Middleware/flask-security/releases/tag/3.4.5

来源:MISC

链接：https://pypi.org/project/Flask-Security-Too

来源:MISC

链接：https://github.com/Flask-Middleware/flask-security/commit/6d50ee9169acf813257c37b75babe9c28e83542a

来源:CONFIRM

链接：https://github.com/Flask-Middleware/flask-security/security/advisories/GHSA-hh7m-rx4f-4vpv

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202101-500