minotauro2020/cve-2023-40868Cross-Site Request Forgery Sicherheitslücke in der mooSocial MooSocial Software v.Demo ermöglicht es einem entfernten Angreifer, beliebigen Code über die Funktionen 'Konto löschen' und 'Deaktivieren' auszuführen.
Cross-Site-Request-Forgery-Schwachstelle in mooSocial MooSocial Software v.Demo ermöglicht einem entfernten Angreifer die Ausführung von beliebigem Code über die Funktionen 'Konto löschen' und 'Deaktivieren'.
Die Schwachstelle ist eine Cross-Site-Request-Forgery (CSRF)-Schwachstelle in der mooSocial MooSocial Software v.Demo-Anwendung. Eine CSRF-Schwachstelle tritt auf, wenn ein böswilliger Akteur ein Opfer dazu verleiten kann, eine Aktion auszuführen, die es nicht beabsichtigt hat. In diesem Fall könnte der böswillige Akteur das Opfer dazu verleiten, auf einen Link zu klicken oder eine Datei zu öffnen, die bösartigen Code enthält. Dieser Code könnte dann verwendet werden, um das Konto des Opfers zu löschen oder zu deaktivieren.
POC
1 - Erstelle eine Datei mit diesem CODE und speichere sie als HTML Angriff: Konto löschen
ODER erstelle eine Datei mit diesem CODE und speichere sie als HTML Angriff: Konto deaktivieren
2 - Beispiel: test.html
3 - Sende an das Opfer
4 - Wenn das Opfer die HTML-Datei öffnet, wird die Datei test.html in seinem Browser geöffnet. Wenn es die Schaltfläche öffnet und darauf klickt, wird der Code in seiner aktuellen Sitzung geändert.
