CWE-1275

Podatność w Mozilla Firefox i Thunderbird umożliwia zagnieżdżonemu elementowi iframe wywołanie nawigacji cross-site i wysłanie cookies oznaczonych jako SameSite=Strict lub SameSite=Lax, co narusza zamierzone ograniczenia bezpieczeństwa. Jest to groźne, ponieważ mechanizm SameSite ma chronić użytkowników przed atakami typu CSRF oraz nieautoryzowanym dostępem do sesji.

Kimai 1.30.10 contains a SameSite cookie vulnerability that allows attackers to steal user session cookies through malicious exploitation. Attackers can trick victims into executing a crafted PHP script that captures and writes session cookie information to a file, enabling potential session hijacking.

Misskey is an open source, federated social media platform. Starting in version 12.109.0 and prior to version 2025.2.0-alpha.0, due to a lack of CSRF protection and the lack of proper security attributes in the authentication cookies of Bull's dashboard, some of the APIs of bull-board may be subject to CSRF attacks. There is a risk of this vulnerability being used for attacks with relatively large impact on availability and integrity, such as the ability to add arbitrary jobs. This vulnerability was fixed in 2025.2.0-alpha.0. As a workaround, block all access to the `/queue` directory with a web application firewall (WAF).

Emlog is an open source website building system. In 2.6.26 and earlier, missing CSRF protection on the AI Assistant execute_tool action in admin/ai.php lets a remote unauthenticated attacker submit a forged cross-site request from an attacker-controlled page to a recently logged-in administrator. The authentication cookie set in include/lib/loginauth.php has no explicit SameSite attribute, enabling Chrome's temporary Lax+POST grace window. The query_database case passes attacker-controlled sql and confirm_code values to Ai::queryDatabase in include/service/ai.php; read queries need no confirmation, write queries accept the public confirm string, only the blog table is write-protected, and aliasing password as pwd_hash bypasses output redaction. A successful request can read every database table and write every table except blog, including changing the user table to take over an administrator account. No fixed version is available as of this review.

IBM Cloud Pak for Security (CP4S) 1.10.0.0 through 1.10.11.0 and IBM QRadar Suite for Software 1.10.12.0 through 1.10.19.0 does not set the SameSite attribute for sensitive cookies which could allow an attacker to obtain sensitive information using man-in-the-middle techniques. IBM X-Force ID: 233778.

HCL SX does not set the secure attribute on authorization tokens or session cookies. Attackers may potentially be able to obtain access to the cookie values via a Cross-Site-Forgery-Request (CSRF).

HCL BigFix Compliance is affected by an improper or missing SameSite attribute. This can lead to Cross-Site Request Forgery (CSRF) attacks, where a malicious site could trick a user's browser into making unintended requests using authenticated sessions.

Brakuje atrybutów Secure i SameSite w usługach sieciowych GraphicalData oraz aplikacji webowej WebClient produktu PcVue w wersjach od 12.0.0 do 16.3.3 włącznie.

A vulnerability in OTRS Application Server allows session hijacking due to missing attributes for sensitive cookie settings in HTTPS sessions. A request to an OTRS endpoint from a possible malicious web site, would send the authentication cookie, performing an unwanted read operation.   This issue affects: * OTRS 7.0.X * OTRS 8.0.X * OTRS 2023.X * OTRS 2024.X * OTRS 2025.x

HCL AION jest podatny na lukę związaną z Cookies z nieprawidłowym, braku bądź brakującymi atrybutem SameSite. Pozwala to na wysyłanie cookies w żądaniach cross-site, potencjalnie zwiększając narażenie na CSRF i powiązane ryzyka bezpieczeństwa. Luka dotyczy AION w wersji 2.0.

Biblioteka AsyncHttpClient (AHC) umożliwia aplikacjom Java łatwe wykonywanie zapytań HTTP i asynchroniczne przetwarzanie odpowiedzi. W wersjach od 2.0.0 do 2.16.0 i od 3.0.0.Beta1 do 3.0.11 ThreadSafeCookieStore przechowywał cookie na podstawie wartości atrybutu Domain bez weryfikacji, czy host odpowiadający ma prawo ustawiać cookie dla tej domeny, co prowadziło do cookie tossing / cookie injection. Host, z którym łączy się klient, może zatem zainstalować cookie o zakresie nierelacjonowanej domeny, a klient będzie następnie wysyłać to cookie w późniejszych żądaniach do tej domeny. Aplikacje wykorzystujące jedną instancję AsyncHttpClient — a tym samym domyślny, wspólny CookieStore — do łączenia się zarówno z hostem kontrolowanym przez atakującego, jak i zaufanym hostem, są zagrożone. Problem został naprawiony w wersjach 2.16.0 i 3.0.11.

IBM Sterling B2B Integrator i IBM Sterling File Gateway w wersjach 6.0.0.0 do 6.1.2.7, 6.2.0.0 do 6.2.0.5 oraz 6.2.1.1 mogą ujawnić wrażliwe informacje z powodu braku lub nieprawidłowej konfiguracji atrybutu SameSite dla wrażliwego cookie'a.

IBM Concert w wersjach 1.0.0 i 1.0.1 jest podatny na ataki opierające się na użyciu cookies bez atrybutu SameSite.

Concrete CMS w wersji 9 przed 9.5.0 jest podatny na Cross Site Request Forgery (CSRF) w module concrete/controllers/dialog/logs/delete. Zespół bezpieczeństwa Concrete CMS przyznał tej podatności wynik CVSS v4.0 równy 2.3 z wektorem CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Podziękowania dla Yonatana Drori (Tenzai) za zgłoszenie.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross Site Request Forgery (CSRF) w konkretnym/controllers/dialog/logs/bulk/delete. Zespół bezpieczeństwa Concrete CMS przyznał tej podatności wynik CVSS v.4.0 wynoszący 2.3 z wektorem CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Dziękujemy Yonatanowi Droriemu (Tenzai) za zgłoszenie.

Concrete CMS 9 w wersji wcześniejszej niż 9.5.0 jest podatny na CSRF (Cross Site Request Forgery) w ścieżce concrete/controllers/dialog/page/bulk/delete. Zespół bezpieczeństwa Concrete CMS przyznał tej podatności wynik CVSS v.4.0 2.3 z wektorem CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Podatność zgłosił Yonatan Drori (Tenzai).

Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross Site Request Forgery (CSRF) w `concrete/controllers/dialog/page/bulk/cache`. Zespół bezpieczeństwa Concrete CMS przyznał tej podatności wynik CVSS v4.0 wynoszący 2.3 z wektorem CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross Site Request Forgery (CSRF) w ścieżce concrete/controllers/dialog/page/bulk/design. Zespół bezpieczeństwa Concrete CMS przyznał tej podatności wynik CVSS v.4.0 wynoszący 2.3 z wektorem CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N.

Concrete CMS 9 przed wersją 9.5.0 jest podatny na Cross Site Request Forgery (CSRF) w ścieżce concrete/controllers/dialog/event/duplicate. Zespół bezpieczeństwa Concrete CMS przyznał tej podatności wynik CVSS v.4.0 wynoszący 2.3 z wektorem CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Podziękowania dla Yonatan Drori (Tenzai) za zgłoszenie.

Concrete CMS 9 poniżej wersji 9.5.0 jest podatny na Cross Site Request Forgery (CSRF) w ścieżce concrete/controllers/dialog/express/association/reorder. Zespół bezpieczeństwa Concrete CMS przydzielił tej podatności wynik CVSS v.4.0 równy 2.3 z wektorem CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N. Podatność zgłosił Yonatan Drori (Tenzai).