CVE-2019-25682
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
CMSsite 1.0 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF), która pozwala atakującym na wykonywanie nieautoryzowanych działań administracyjnych poprzez tworzenie złośliwych formularzy HTML. Atakujący mogą nakłonić uwierzytelnionych administratorów do odwiedzenia spreparowanych stron, które wysyłają żądania POST do punktu końcowego users.php z parametrami takimi jak source=add_user, source=edit_user lub del=1, aby tworzyć, modyfikować lub usuwać konta administratorów.
Ocena ryzyka
Atakujący może przejąć kontrolę nad kontem administratora, co może prowadzić do pełnej kompromitacji systemu CMS.
Rekomendacja
Zaleca się aktualizację CMSsite do wersji, która zawiera poprawkę CSRF, lub wdrożenie własnych zabezpieczeń, takich jak tokeny CSRF.
Oryginalny opis (angielski, źródło NVD)
CMSsite 1.0 contains a cross-site request forgery vulnerability that allows attackers to perform unauthorized administrative actions by crafting malicious HTML forms. Attackers can trick authenticated administrators into visiting crafted pages that submit POST requests to the users.php endpoint with parameters like source=add_user, source=edit_user, or del=1 to create, modify, or delete admin accounts.