minotauro2020/cve-2023-43149CVE-2023-43149
#Auteur : Aitor Herrero Fuentes
CSRF AJOUTER UN COMPTE RACINE
La vulnérabilité Cross Site Request Forgery dans l'application demo.spa-cart.com permet à un attaquant distant d'exécuter du code arbitraire et d'ajouter un utilisateur malveillant avec un « role status » en un seul clic.
Une vulnérabilité CSRF se produit lorsqu'un acteur malveillant peut tromper une victime afin qu'elle effectue une action qu'elle n'avait pas l'intention d'effectuer. Dans ce cas, l'acteur malveillant pourrait tromper la victime en lui faisant cliquer sur un lien ou ouvrir un fichier contenant du code malveillant.
Ce code pourrait ensuite être utilisé pour supprimer tous les comptes.
POC
1 - Créez un fichier avec ce CODE et enregistrez-le en HTML Attaque Supprimer tous les comptes
2 - Exemple test.html
3 - Envoyez-le à la victime
4 - Lorsque la victime ouvre le html, le fichier test.html s'ouvrira dans son navigateur et lorsqu'elle ouvrira et cliquera sur le bouton le code sera modifié dans sa session actuelle.
