Vendure Cross Site Request Forgery vulnerability impacting all API requests
Impact
Vendure is an e-commerce GraphQL framework with a number of APIs and different levels of authorization. By default the Cookie settings are insecure, having the SameSite setting as false which results in not having one (originates from the cookie-session npm package’s default settings).
Patches
In progress
Workarounds
Manually set the authOptions.cookieOptions.sameSite configuration option to 'strict', 'lax' or true.
References
Are there any links users can visit to find out more?
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @vendure/core | < 2.0.3 | 2.0.3 |
Referencias
- Debilidad (CWE)
-- Plataforma
- npm
- Paquete
@vendure/core- Publicada
- 11.07.2023
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-h9wq-xcqx-mqxm - CC BY 4.0
Historial de vulnerabilidades: @vendure/core
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 7
- Primera → última
- 07.2023 09.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 1
- Media 2
- Baja 2
Divulgaciones por año
- 2023: 2
- 2024: 0
- 2025: 0
- 2026: 5
-
Vendure Cross Site Request Forgery vulnerability impacting all API requests esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.