CVE-2017-16244

Wysokie

Opublikowano: 01/11/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W OctoberCMS 1.0.426 występuje podatność na atak Cross-Site Request Forgery (CSRF) z powodu niewłaściwej walidacji tokenów CSRF przy obsłudze postbacków, co pozwala atakującemu na przejęcie konta ofiary. Atak omija mechanizm ochrony związany z nagłówkami X-CSRF i tokenami CSRF poprzez określoną zmienną postback _handler.

Ocena ryzyka

Podatność ta może prowadzić do przejęcia kont użytkowników, co stwarza poważne zagrożenie dla bezpieczeństwa danych w organizacji. Atakujący może uzyskać dostęp do wrażliwych informacji i wykonać nieautoryzowane działania w imieniu ofiary.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji OctoberCMS, która naprawia tę podatność. Dodatkowo, warto wdrożyć dodatkowe mechanizmy zabezpieczeń, aby zminimalizować ryzyko ataków CSRF.

Inne podatności w OctoberCMS 1.0.426

CVE-2026-100909Wysokie
Podatność w OctoberCMS do wersji 4.1.19/4.2.25/4.3.4 w funkcji getSourcePathForResize pliku modules/system/classes/ResizeImages.php. Manipulacja argumentem realSourcePath prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak możliwy zdalnie, exploit publiczny. Aktualizacja do wersji 4.3.5 lub 4.4.0 rozwiązuje problem.

Oryginalny opis (angielski, źródło NVD)

Cross-Site Request Forgery exists in OctoberCMS 1.0.426 (aka Build 426) due to improper validation of CSRF tokens for postback handling, allowing an attacker to successfully take over the victim's account. The attack bypasses a protection mechanism involving X-CSRF headers and CSRF tokens via a certain _handler postback variable.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS