CVE-2023-34927

MittelVeröffentlicht

Bei Casdoor v1.331.0 und niedrigeren Versionen wurde festgestellt, dass der Endpunkt /api/set-password eine Cross-Site Request Forgery (CSRF)-Schwachstelle...

Veröffentlicht: 22.06.2023
Aktualisiert: 04.12.2024
CNA zuweisen: mitre
Beweise beobachtet: 02.04.2024

Primäres CVSS

6,5/ 10Mittel

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

EPSS-Wahrscheinlichkeitsschätzung

3,1 %

Niedrig · nächste 30 Tage

Perzentil: 87,0 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Bei Casdoor v1.331.0 und niedrigeren Versionen wurde festgestellt, dass der Endpunkt /api/set-password eine Cross-Site Request Forgery (CSRF)-Schwachstelle enthält. Diese Schwachstelle ermöglicht es Angreifern, das Passwort eines betroffenen Benutzers durch die Bereitstellung einer manipulierten URL beliebig zu ändern.

Quellen

csrf_casdoorPoC
Proof-of-Concept-CSRF-Exploit für den `/api/set-password`-Endpunkt von Casdoor (CVE-2023-34927), der unbefugte Passwortänderungen über Cross-Site-POST-Anfragen ermöglicht. Enthält einen Go-basierten CSRF-Filter-Fix.
Casdoor < v1.331.0 - '/api/set-password' CSRFExploit
Van Lam Nguyen · go · 02.04.2024
Casdoor 2.55.0 - Cross-Site Request Forgery (CSRF)

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.