CVE-2016-20053
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Redaxo CMS 5.2 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia nieuwierzytelnionym atakującym tworzenie kont administracyjnych poprzez nakłonienie uwierzytelnionych administratorów do odwiedzenia złośliwych stron. Atakujący mogą przygotować formularze HTML kierujące do punktu końcowego użytkowników z ukrytymi polami zawierającymi dane uwierzytelniające i parametry konta, aby dodać nowe konto administratora bez zgody użytkownika.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego utworzenia konta administratora, co może prowadzić do całkowitego przejęcia kontroli nad systemem CMS przez atakującego.
Rekomendacja
Należy zaktualizować Redaxo CMS do najnowszej wersji, która zawiera poprawki zabezpieczeń przed CSRF, oraz wdrożyć mechanizmy ochrony, takie jak tokeny CSRF i walidacja nagłówka Origin.
Oryginalny opis (angielski, źródło NVD)
Redaxo CMS 5.2 contains a cross-site request forgery vulnerability that allows unauthenticated attackers to create administrative user accounts by tricking authenticated administrators into visiting malicious pages. Attackers can craft HTML forms targeting the users endpoint with hidden fields containing admin credentials and account parameters to add new administrator accounts without user consent.