minotauro2020/cve-2023-43149CVE-2023-43149
#Autor : Aitor Herrero Fuentes
CSRF AÑADIR CUENTA ROOT
La vulnerabilidad de Cross Site Request Forgery en la aplicación demo.spa-cart.com permite a un atacante remoto ejecutar código arbitrario, añadir un usuario malicioso con "estado de rol" con un solo clic. Una vulnerabilidad CSRF ocurre cuando un actor malicioso puede engañar a una víctima para que realice una acción que no tenía intención de realizar. En este caso, el actor malicioso podría engañar a la víctima para que haga clic en un enlace o abra un archivo que contenga código malicioso. Este código podría utilizarse después para eliminar todas las cuentas.
POC
1 - Crea un archivo con este CÓDIGO y guárdalo en HTML Ataque: Eliminar todas las cuentas
2 - Ejemplo test.html
3 - Enviar a la víctima
4 - Cuando la víctima abra el html, el archivo test.html se abrirá en su navegador y, cuando lo abra y haga clic en el botón, el código cambiará en su sesión actual.
