CVE-2016-20054
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Nodcms zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), która umożliwia atakującym wykonywanie nieautoryzowanych działań administracyjnych poprzez tworzenie złośliwych formularzy. Atakujący mogą nakłonić uwierzytelnionego administratora do wysłania żądań do punktów końcowych admin/user_manipulate i admin/settings/generall, co pozwala na tworzenie użytkowników lub modyfikację ustawień aplikacji bez wyraźnej zgody.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad aplikacją przez atakującego, który może dodać nowe konto administratora lub zmienić kluczowe ustawienia, co prowadzi do naruszenia integralności i poufności systemu.
Rekomendacja
Należy zaimplementować mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF w formularzach oraz weryfikacja nagłówka Origin lub Referer dla wrażliwych akcji administracyjnych.
Oryginalny opis (angielski, źródło NVD)
Nodcms contains a cross-site request forgery vulnerability that allows attackers to perform unauthorized administrative actions by crafting malicious forms. Attackers can trick authenticated administrators into submitting requests to admin/user_manipulate and admin/settings/generall endpoints to create users or modify application settings without explicit consent.