CVE-2023-4659
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site Request Forgery (CSRF) w aplikacji, której wykorzystanie pozwala atakującemu wykonywać akcje jako administrator poprzez zmianę wartości tokenu na "admin". Możliwe jest również wysyłanie żądań POST, GET i DELETE bez żadnej wartości tokenu, co pozwala nieuprzywilejowanemu zdalnemu użytkownikowi tworzyć, usuwać i modyfikować konta użytkowników.
Ocena ryzyka
Atakujący może przejąć kontrolę administracyjną nad aplikacją i modyfikować konta użytkowników bez ważnych poświadczeń. Stanowi to poważne ryzyko naruszenia integralności i poufności danych.
Rekomendacja
Należy wdrożyć poprawne mechanizmy ochrony CSRF z weryfikacją tokenu po stronie serwera oraz zaktualizować aplikację do wersji zawierającej poprawkę.
Inne podatności w Aplikacja webowa
Zobacz wszystkie- CVE-2026-41964Wysokie
W podatności CVE-2026-41964 występuje luka w kontroli uprawnień w aplikacji webowej. Jej wykorzystanie może wpłynąć na dostępność systemu.
- CVE-2026-6356Krytyczne
Podatność w aplikacji webowej pozwala standardowym użytkownikom na eskalację swoich uprawnień do poziomu super administratora poprzez manipulację parametrami, co umożliwia dostęp i modyfikację wrażliwych informacji.
- CVE-2025-58585Średnie
Wiele punktów końcowych zawierających wrażliwe informacje nie wymaga uwierzytelnienia, co naraża aplikację na zbieranie informacji przez nieautoryzowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery vulnerability, whose exploitation could allow an attacker to perform different actions on the platform as an administrator, simply by changing the token value to "admin". It is also possible to perform POST, GET and DELETE requests without any token value. Therefore, an unprivileged remote user is able to create, delete and modify users within theapplication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS