CVE-2026-68923
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
MobSF, narzędzie do testowania bezpieczeństwa aplikacji mobilnych, przed wersją 4.5.1 zawiera podatność polegającą na umieszczeniu django.middleware.csrf.CsrfViewMiddleware tylko w przestarzałym ustawieniu MIDDLEWARE_CLASSES i pominięciu go w aktywnej krotce MIDDLEWARE. Pozwala to zdalnemu atakującemu nakłonić zalogowaną ofiarę do wysłania żądań POST do uwierzytelnionych punktów końcowych, takich jak /delete_scan/, /upload/, /download_scan/, /change_password/, /create_user/ i /delete_user/. Może to usuwać skany, przesyłać lub pobierać aplikacje, zmieniać hasła lub zarządzać użytkownikami z uprawnieniami ofiary. Problem naprawiono w wersji 4.5.1.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane działania na koncie ofiary, takie jak usuwanie danych, zmiana haseł lub zarządzanie użytkownikami, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację MobSF do wersji 4.5.1 lub nowszej oraz upewnienie się, że ochrona CSRF jest aktywna we wszystkich środowiskach.
Oryginalny opis (angielski, źródło NVD)
MobSF is a mobile application security testing tool used. Prior to 4.5.1, mobsf/MobSF/settings.py places django.middleware.csrf.CsrfViewMiddleware only in the deprecated MIDDLEWARE_CLASSES setting and omits it from the active MIDDLEWARE tuple, allowing a remote attacker to make a logged-in victim submit cross-site POST requests to authenticated web endpoints including /delete_scan/, /upload/, /download_scan/, /change_password/, /create_user/, and /delete_user/. This can delete scans, upload or download applications, change passwords, or manage users with the victim account permissions. This issue is fixed in version 4.5.1.