CVE-2023-40868

ثغرة تزوير الطلبات عبر المواقع (Cross Site Request Forgery) في mooSocial MooSocial Software v.Demo تسمح لمهاجم عن بُعد بتنفيذ كود تعسفي عبر وظيفتي حذف الحساب وتعطيله.

الثغرة هي ثغرة تزوير الطلبات عبر المواقع (CSRF) في تطبيق mooSocial MooSocial Software v.Demo. تحدث ثغرة CSRF عندما يتمكن مهاجم خبيث من خداع الضحية للقيام بإجراء لم تكن تنوي القيام به. في هذه الحالة، يمكن للمهاجم الخبيث خداع الضحية للنقر على رابط أو فتح ملف يحتوي على كود خبيث. ويمكن بعد ذلك استخدام هذا الكود لحذف حساب الضحية أو تعطيل حسابه.

إثبات المفهوم

1 - أنشئ ملفًا يحتوي على هذا الكود واحفظه بصيغة HTML هجوم حذف الحساب

أو أنشئ ملفًا يحتوي على هذا الكود واحفظه بصيغة HTML هجوم تعطيل الحساب

2 - مثال test.html

3 - أرسله إلى الضحية

4 - عندما يفتح الضحية ملف HTML، سيُفتح test.html في متصفحه، وعندما يضغط على الزر، سيتغير الكود في جلسته الفعلية.