CVE-2025-28355

È stato identificato che l'applicazione https://github.com/Volmarg/personal-management-system è vulnerabile ad attacchi CSRF. Una delle molte azioni che un attaccante può eseguire è ingannare un utente legittimo per fargli eseguire una richiesta cross-site che modificherà la sua password, consentendo all'attaccante l'accesso all'applicazione. La vulnerabilità richiede browser che hanno come valore predefinito dell'attributo del cookie “SameSite” none, come Firefox.

Stringa vettore: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Punteggio CVSS: 4.7

Prova del concetto Per la dimostrazione userò il nome utente tester e cambierò la password di quell'utente in “missingcsrf” Nota che l'attaccante può cambiare altri valori come il nickname e la password di blocco. L'applicazione è generalmente vulnerabile a CSRF, il che significa che un utente malintenzionato può ingannare gli utenti per caricare file, cambiare password, alterare record, ecc.

Questa è una semplice pagina HTML che effettuerà la richiesta cross-site quando l'utente visita l'URL malevolo.

Eseguendo quanto sopra in un browser Firefox, la password è stata cambiata con successo.

Finalmente, effettuiamo il login con la password modificata e possiamo vedere che veniamo reindirizzati alla pagina della dashboard, il che significa che il login è riuscito.