CVE-2025-62797

WysokieCVSS 8.6

Opublikowano: 29/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Krytyczna podatność CSRF w FluxCP, webowym panelu sterowania dla serwerów rAthena. Żądania POST zmieniające stan są autoryzowane wyłącznie przez cookie sesji, bez tokenów anty-CSRF lub walidacji Origin/Referer. Atakujący może nakłonić zalogowanego użytkownika do wykonania niepożądanych akcji.

Ocena ryzyka

Użytkownik może zostać zmuszony do wykonania wrażliwych operacji bez swojej wiedzy, co może prowadzić do naruszenia integralności danych lub nieautoryzowanych zmian.

Rekomendacja

Należy natychmiast zaktualizować FluxCP do wersji zawierającej commit e3f130c oraz wdrożyć mechanizmy ochrony CSRF.

Inne podatności w FluxCP

CVE-2026-116254Średnie
W rathena FluxCP do wersji 98cd4b8fd83228c11b36fb3d097b8e0f7c105a8d funkcja verifyiprange w pliku lib/Flux/PaymentNotifyRequest.php (komponent PayPal IPN Handler) umożliwia błąd walidacji pochodzenia poprzez manipulację argumentem X-Real-IP. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Dostawca został powiadomiony, ale nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

FluxCP is a web-based Control Panel for rAthena servers written in PHP. A critical Cross-Site Request Forgery (CSRF) vulnerability exists in the FluxCP-based website template used by multiple rAthena/Ragnarok servers. State-changing POST endpoints accept browser-initiated requests that are authorized solely by the session cookie without per-request anti-CSRF tokens or robust Origin/Referer validation. An attacker who can lure a logged-in user to an attacker-controlled page can cause that user to perform sensitive actions without their intent. This vulnerability is fixed with commit e3f130c.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS