CVE-2023-33409

Minical 1.0.0 معرضة لخطر تزوير الطلبات عبر المواقع (CSRF).

البائع: https://github.com/minical/minical

التطبيق التجريبي: https://demo.minical.io/

---

PoC

لا يحتوي التطبيق على أي حماية من CSRF، وبالتالي يمكن استخدام طلب HTTP مُعد خصيصًا للقيام بما يلي:

• إضافة مستخدم جديد
• حذف مستخدم موجود
• تعديل عنوان البريد الإلكتروني للمستخدم الحالي وغيره من المعلومات الحساسة.

يمكن توليد الحمولات الخاصة بالهجمات المختلفة باستخدام أداة Generate CSRF POC في BurpSuite.

مثال:

إضافة مستخدم جديد: