CVE-2025-28355

تم تحديد أن تطبيق https://github.com/Volmarg/personal-management-system معرّض لهجمات CSRF، ومن بين الأفعال العديدة التي يمكن للمهاجم تنفيذها خداع مستخدم شرعي لتنفيذ طلب عبر المواقع من شأنه تغيير كلمة المرور الخاصة به/بها، مما يتيح للمهاجم الوصول إلى التطبيق. تتطلب الثغرة متصفحات تكون فيها القيمة الافتراضية لخاصية ملف تعريف الارتباط “SameSite” هي none مثل Firefox.

سلسلة المتجه: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

درجة CVSS: 4.7

إثبات المفهوم للتوضيح سأستخدم اسم المستخدم tester وأغيّر كلمة مرور هذا المستخدم إلى “missingcsrf” لاحظ أن المهاجم يمكنه تغيير قيم أخرى مثل اللقب وكلمة مرور القفل. التطبيق معرّض بشكل عام لهجمات CSRF، مما يعني أن مستخدمًا خبيثًا يمكنه خداع المستخدمين لرفع ملفات وتغيير كلمة المرور والعبث بالسجلات وغير ذلك.

هذه صفحة HTML بسيطة تنشئ الطلب عبر المواقع عندما يزور المستخدم الرابط الخبيث.

بتشغيل ما سبق في متصفح Firefox، تم تغيير كلمة المرور بنجاح.

أخيرًا، نسجّل الدخول بكلمة المرور المعدّلة ونلاحظ إعادة توجيهنا إلى صفحة لوحة التحكم، وهو ما يعني أن تسجيل الدخول كان ناجحًا.