CVE-2017-9415
WysokieStreszczenie
Podatność CSRF w subsonic 6.1.1 umożliwia zdalnym atakującym, którzy znają nazwę użytkownika, przejęcie autoryzacji użytkowników w celu zmiany haseł poprzez spreparowane żądanie do userSettings.view.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do nieautoryzowanej zmiany haseł użytkowników, co prowadzi do potencjalnej utraty kontroli nad kontami.
Rekomendacja
Zaleca się wdrożenie mechanizmów ochrony przed CSRF oraz aktualizację do najnowszej wersji subsonic, aby zminimalizować ryzyko.
Inne podatności w subsonic 6.1.1
Zobacz wszystkie- CVE-2017-9413Wysokie
Wielokrotne podatności typu cross-site request forgery (CSRF) w funkcji Podcast w Subsonic 6.1.1 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla określonych żądań, takich jak subskrypcja podcastu lub aktualizacja ustawień Internet Radio.
- CVE-2017-9355Wysokie
W podatności CVE-2017-9355 występuje luka XXE w funkcji importu playlist w Subsonic 6.1.1, która może umożliwić zdalnym atakującym przeprowadzenie ataków SSRF za pomocą spreparowanego pliku playlisty XSPF.
Oryginalny opis (angielski, źródło NVD)
Cross-site request forgery (CSRF) vulnerability in subsonic 6.1.1 allows remote attackers with knowledge of the target username to hijack the authentication of users for requests that change passwords via a crafted request to userSettings.view.