Subrion CMS 4.2.1 - Falsificación de Solicitud entre Sitios (CSRF) (Agregar usuario Administrador)

Descripción

Subrion CMS es fácil de instalar y simple de administrar. Úselo como una aplicación independiente o en conjunto con otras aplicaciones para crear sitios de nivel básico, medianos o grandes.

Existe una vulnerabilidad de Falsificación de Solicitud entre Sitios (CSRF) en Intelliants Subrion CMS v4.2.1 a través de la función de administración de Miembros, lo que podría permitir que un usuario malintencionado remoto no autenticado envíe una solicitud autorizada a la víctima y cree con éxito un usuario administrador arbitrario.

Fecha: 27-02-2022
Enlace del software: https://subrion.org
Autor del exploit: HaMM0nz
CVE: CVE-2020-18326
Categoría: Aplicación Web

Prueba de Concepto

1. Cree el HTML y aloje el enlace en la aplicación web. (Consulte CVE-2020-18326.html)
2. Envíe el enlace a la víctima.
3. Se creará un nuevo usuario administrador con el nombre "admincsrf".

Cronología

Descubrimiento e informe : 24 junio 2019
Se asignó el ID de CVE : 11 agosto 2021
Público : 27 febrero 2022

Solución

Considere cumplir con las pautas de prevención de CSRF de OWASP. (https://cheatsheetseries.owasp.org/cheatsheets/Cross-Site_Request_Forgery_Prevention_Cheat_Sheet.html)