CVE-2025-67315

1. Accedi come Amministratore

   • Naviga all'endpoint /admin e accedi con credenziali di amministratore valide.

   

2. Apri Gestisci Dipendenti

   • Dalla dashboard, clicca su Dipendenti → Gestisci Dipendenti.

   

3. Cattura la Richiesta di Disattivazione

   • Attiva l'intercettazione nel tuo proxy (es. Burp Suite).

   • Clicca su Inattivo su un dipendente e cattura la richiesta che disattiva l'utente.

   • Nota il parametro inid nella richiesta (es. inid=1).

   

4. Genera il PoC CSRF

   • Utilizzando i dettagli della richiesta intercettata, crea un file HTML che invia una richiesta con inid=1 per disattivare l'utente 1.

   

5. Attiva il CSRF come Vittima

   • Ospita o apri il PoC HTML in un browser.

   • Mentre l'amministratore è connesso all'applicazione, se visita questa pagina PoC e invia il modulo, l'utente 1 verrà disattivato.

   

6. Verifica l'Effetto

   • Torna alla dashboard di amministrazione → Gestisci Dipendenti.

   • Osserva che l'utente 1 è ora contrassegnato come Inattivo.

   

Proof of Concept CSRF (HTML)

Di seguito un tipico PoC assumendo una richiesta POST con parametro inid:

• Salva questo come csrf_inactivate_emp1.html.

• Invia/ospita questo file e fai in modo che un amministratore autenticato lo carichi e clicchi sul pulsante.

Impatto

• Un attaccante può costringere un amministratore autenticato a disattivare dipendenti arbitrari ingannandolo a visitare una pagina malevola.

• Questo può portare a:

  • Disattivazione non autorizzata degli account, che compromette la disponibilità degli account utente.

  • Interruzione operativa (es. dipendenti disabilitati durante operazioni critiche).

  • Possibile abuso combinato con altre vulnerabilità (es. disattivazione di account di monitoraggio o privilegiati).

• L'attacco richiede solo che:

  • L'amministratore sia connesso, e

  • L'amministratore visiti una URL/pagina malevola controllata dall'attaccante (phishing, iframe incorporato, link malevolo, ecc.).

Dato che questo manipola direttamente la gestione degli utenti nel portale di amministrazione, questo problema dovrebbe essere considerato di Alta gravità.

Rimedi

1. Implementare Token di Protezione CSRF

   • Aggiungi un token CSRF crittograficamente sicuro e imprevedibile a tutte le richieste che modificano lo stato (es., disattivazione, eliminazione, aggiornamenti).

   • Inserisci il token nei moduli come campo nascosto.

   • Sul lato server, valida:

     • La presenza del token,

     • La correttezza del token, e

     • L'associazione del token con la sessione utente corrente.

   • Rifiuta la richiesta se il token è mancante o non valido.

2. Utilizzare Cookie Same-Site

   • Imposta i cookie di sessione con SameSite=Lax o preferibilmente SameSite=Strict dove possibile.

   • Questo impedisce l'invio automatico dei cookie su richieste cross-site, riducendo il rischio CSRF.

3. Applicare Metodi HTTP Corretti

   • Assicurati che tutte le operazioni che modificano lo stato (come disattivare un dipendente) utilizzino POST (o PUT/DELETE) invece di GET.

   • Non accettare modifiche di stato sensibili tramite parametri GET.

4. Validare gli Header Origin/Referer

   • Su endpoint sensibili, verifica l'header Origin o Referer per assicurarsi che le richieste provengano da domini fidati.

   • Se l'header è mancante o proviene da un'origine non attendibile, rifiuta la richiesta.

5. Rafforzamento UI/Workflow

   • Aggiungi flussi di conferma o ri-autenticazione lato server per azioni sensibili (es., disattivazione di utenti con ruoli amministrativi).

   • Implementa controlli di autorizzazione adeguati per garantire che solo i ruoli previsti possano eseguire l'azione, anche se viene tentato un CSRF.

6. Test di Sicurezza

   • Integra i controlli CSRF nei test di sicurezza regolari (manuali e automatizzati).

   • Ripeti il test di questo endpoint (e di simili) dopo aver implementato le protezioni per verificare che il PoC non funzioni più.