minotauro2020/cve-2023-43148CVE CSRF DELETE ACCOUNT
#Auteur : Aitor Herrero Fuentes
CSRF SUPPRIMER TOUS LES COMPTES
La vulnérabilité de falsification de requête intersite (CSRF) dans l'application demo.spa-cart.com permet à un attaquant distant d'exécuter du code arbitraire et de supprimer « Tous les comptes » en un seul clic.
Une vulnérabilité CSRF se produit lorsqu'un acteur malveillant peut tromper une victime pour qu'elle effectue une action qu'elle n'avait pas l'intention d'effectuer. Dans ce cas, l'acteur malveillant pourrait inciter la victime à cliquer sur un lien ou à ouvrir un fichier contenant du code malveillant. Ce code pourrait alors être utilisé pour supprimer tous les comptes.
POC
1 - Créez un fichier avec ce CODE et enregistrez-le au format HTML Attaque Supprimer tous les comptes
Astuce : Tous les utilisateurs se voient attribuer un identifiant, par exemple « status[852] ». Complétez le code HTML avec « status[001] » jusqu'à « status[002] », etc., jusqu'à 1000. Grâce à cette astuce, l'attaquant peut supprimer tous les utilisateurs
2 - Exemple test.html
3 - Envoyer à la victime
4 - Lorsque la victime ouvre le fichier HTML, le fichier test.html s'ouvre dans son navigateur. Lorsqu'elle ouvrira et cliquera sur le bouton, le code sera modifié dans sa session actuelle.
