CVE-2020-20586
ŚrednieCVSS 4.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W systemie XYHCMS V3.6 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF) w URI /xyhai.php?s=/Auth/editUser. Umożliwia ona atakującemu modyfikację danych administratora, w tym nazwy, adresu e-mail i hasła.
Ocena ryzyka
Atakujący może przejąć konto administratora, zmieniając jego dane logowania, co prowadzi do pełnej kompromitacji systemu CMS i danych w nim przechowywanych.
Rekomendacja
Należy natychmiast zaktualizować XYHCMS do najnowszej wersji oraz wdrożyć mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF i weryfikacja nagłówka Origin.
Oryginalny opis (angielski, źródło NVD)
A cross site request forgery (CSRF) vulnerability in the /xyhai.php?s=/Auth/editUser URI of XYHCMS V3.6 allows attackers to edit any information of the administrator such as the name, e-mail, and password.