CVE-2008-1238

Опубликовано: 27 мар. 2008

Источник: nvd

CVSS2: 5

EPSS Низкий

Уязвимость обхода механизмов защиты приложения через заголовок HTTP Referer в Mozilla Firefox и SeaMonkey

Описание

В версиях Mozilla Firefox до 2.0.0.13 и SeaMonkey до 1.1.9 при генерации заголовка HTTP Referer не указывается полный URL, если он содержит учетные данные базовой аутентификации без имени пользователя. Это упрощает злоумышленникам обход механизмов защиты приложения, которые зависят от заголовков Referer, таких как некоторые механизмы межсайтовой подделки запросов (CSRF).

Затронутые версии ПО

Mozilla Firefox: версии до 2.0.0.13
SeaMonkey: версии до 1.1.9

Тип уязвимости

Обход механизмов защиты

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*

Версия до 2.0.0.12 (включая)

cpe:2.3:a:mozilla:seamonkey:*:*:*:*:*:*:*:*

Версия до 1.1.8 (включая)

EPSS

Процентиль: 90%

0.06243

Низкий

5 Medium

CVSS2

Дефекты

CWE-287

Связанные уязвимости

CVE-2008-1238

ubuntu

около 17 лет назад

Mozilla Firefox before 2.0.0.13 and SeaMonkey before 1.1.9, when generating the HTTP Referer header, does not list the entire URL when it contains Basic Authentication credentials without a username, which makes it easier for remote attackers to bypass application protection mechanisms that rely on Referer headers, such as with some Cross-Site Request Forgery (CSRF) mechanisms.