CVE:CVE-2023-29019
CNNVD:CNNVD-202304-1776
passport是美国Jared Hanson个人开发者的一个与 Express 兼容的 Node.js 身份验证中间件。
passport 存在授权问题漏洞。攻击者利用该漏洞通过在受害者的浏览器中抛出有效的“sessionId”cookie并等待受害者登录网站来劫持受害者的会话。
solution:Upgrade fastify passport to a higher version than 1.1.0,2.3.0,and avoid the version (,1.1.0),[2.0.0,2.3.0)