जिम प्रबंधन प्रणाली ( CVE-2024-55271 )

PHP और MySQL का उपयोग करके बनाया गया एक जिम प्रबंधन प्रणाली।

लेखा परीक्षक

Shoaib Alam - LinkedIn प्रोफ़ाइल

विवरण

प्रोफ़ाइल अपडेट अनुभाग में CSRF कमज़ोरी

जिम प्रबंधन प्रणाली में एक क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) कमज़ोरी की पहचान की गई है। यह समस्या उपयोगकर्ता पैनल की प्रोफ़ाइल अपडेट कार्यक्षमता में मौजूद है।

एप्लिकेशन में वर्तमान में एंटी-CSRF टोकन का कार्यान्वयन नहीं है, जिसके परिणामस्वरूप क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) हमलों की कमज़ोरी है। यह सुरक्षा कमज़ोरी विशेष रूप से /profile.php एंडपॉइंट को प्रभावित करती है। एक हमलावर इस दोष का शोषण करके संवेदनशील उपयोगकर्ता जानकारी, जैसे पता, नाम और फ़ोन नंबर में अनधिकृत संशोधन कर सकता है। यह संभावित रूप से उपयोगकर्ता खातों की अखंडता से समझौता कर सकता है और आगे सुरक्षा समस्याओं को जन्म दे सकता है।

कमज़ोर एंडपॉइंट: /profile.php

प्रूफ ऑफ कॉन्सेप्ट (PoC)