minotauro2020/cve-2023-43148CVE CSRF ELIMINAR CUENTA
#Autor : Aitor Herrero Fuentes
CSRF ELIMINAR TODAS LAS CUENTAS
La vulnerabilidad de Cross Site Request Forgery en la aplicación demo.spa-cart.com permite a un atacante remoto ejecutar código arbitrario y eliminar "Todas las cuentas" con un solo clic.
Una vulnerabilidad de CSRF ocurre cuando un actor malicioso puede engañar a una víctima para que realice una acción que no tenía intención de realizar. En este caso, el actor malicioso podría engañar a la víctima para que haga clic en un enlace o abra un archivo que contenga código malicioso. Este código podría usarse luego para eliminar todas las cuentas.
POC
1 - Crea un archivo con este CÓDIGO y guárdalo en HTML. Ataque Eliminar Todas las Cuentas
Consejo: A cada usuario se le asigna una identificación, por ejemplo "status[852]". Completa el HTML con "status[001]" hasta "status[002]" ---etc---etc hasta llegar a 1000. Con este consejo, el atacante puede eliminar todos los usuarios.
2 - Ejemplo test.html
3 - Enviar a la víctima
4 - Cuando la víctima abra el HTML, el archivo test.html se abrirá en su navegador y cuando lo abra y haga clic en el botón, el código cambiará en su sesión actual.
