CVE-2017-12970

Wysokie

Opublikowano: 23/08/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W podatności CVE-2017-12970 w Apache2Triad 1.5.4 występuje luka typu cross-site request forgery (CSRF), która pozwala zdalnym atakującym na przejęcie uwierzytelnienia zalogowanych użytkowników. Atakujący mogą wysyłać żądania, które dodają lub usuwają konta użytkowników poprzez plik phpsftpd/users.php.

Ocena ryzyka

Ta podatność stwarza ryzyko nieautoryzowanego dostępu do kont użytkowników, co może prowadzić do utraty danych lub nieautoryzowanych działań w systemie.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji Apache2Triad oraz wdrożenie mechanizmów ochrony przed CSRF, takich jak tokeny CSRF w formularzach.

Inne podatności w Apache2Triad 1.5.4

CVE-2017-12965Krytyczne
Podatność na oszustwo sesji w Apache2Triad 1.5.4 umożliwia zdalnym atakującym przejęcie sesji internetowych za pomocą parametru PHPSESSID.

Oryginalny opis (angielski, źródło NVD)

Cross-site request forgery (CSRF) vulnerability in Apache2Triad 1.5.4 allows remote attackers to hijack the authentication of authenticated users for requests that (1) add or (2) delete user accounts via a request to phpsftpd/users.php.