RedwoodSDK has Same-site CSRF through lack of origin validation in its server actions — CVE-2026-42190

Résumé

### Summary Server actions in `rwsdk` apply HTTP method enforcement but no origin validation. A request originating from a different origin that the browser treats as same-site can invoke a server action with the victim's session cookie attached. ### Impact An attacker who controls any origin the browser considers same-site with the deployed app can induce an authenticated victim's browser to invoke arbitrary…

Produit

npm: rwsdk

Que faire

Mesures générales et prudentes (vérifiez les détails dans la source officielle) :

• Évaluez l’exposition et planifiez la remédiation selon le risque et l’environnement.
• Identifiez les versions affectées dans votre inventaire et vérifiez si vous êtes concerné.
• Appliquez les correctifs/mises à jour du fournisseur ou les atténuations recommandées.
• Consultez l’avis officiel pour les versions affectées et les étapes de remédiation.

Avis officiel

• Lire la source officielle
• CVE Record
• NVD

Avis associés