CVE-2016-20051
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Snews CMS 1.7 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia atakującym zmianę danych uwierzytelniających administratora bez autoryzacji poprzez tworzenie złośliwych formularzy HTML. Atakujący mogą nakłonić uwierzytelnionych administratorów do odwiedzenia strony zawierającej ukryty formularz, który wysyła żądania POST do akcji changeup, modyfikując parametry nazwy użytkownika i hasła administratora w celu uzyskania nieautoryzowanego dostępu.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta administratora przez atakującego, co może prowadzić do pełnej kompromitacji systemu CMS, w tym modyfikacji treści, kradzieży danych lub dalszych ataków na użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację Snews CMS do najnowszej dostępnej wersji, która usuwa tę podatność, oraz wdrożenie mechanizmów ochrony CSRF, takich jak tokeny anty-CSRF w formularzach.
Oryginalny opis (angielski, źródło NVD)
Snews CMS 1.7 contains a cross-site request forgery vulnerability that allows attackers to change administrator credentials without authentication by crafting malicious HTML forms. Attackers can trick authenticated administrators into visiting a page containing a hidden form that submits POST requests to the changeup action, modifying the admin username and password parameters to gain unauthorized access.