samplev45/cve-2025-22963Divulgazione dettagliata di CVE-2025-22963, una vulnerabilità CSRF in Teedy <= v1.11 che consente l'acquisizione dell'account tramite modifiche forzate delle informazioni utente.
La vulnerabilità di cross-site request forgery (CSRF) in Teedy versioni <= v1.11 consente a un utente malintenzionato remoto di forzare un utente finale a modificare le proprie informazioni utente (nome utente, password, ecc.) sull'applicazione web in cui è attualmente autenticato.
| CVE ID | CVE-2025-22963 |
|---|---|
| CWE ID | CWE-352 |
| CWE Name | Cross-Site Request Forgery (CSRF) |
| CVSS Version 3.x | 7.5 High |
| Affected Software | Teedy <= v1.11 |
A causa della mancanza di protezione CSRF, è possibile indurre un utente autenticato a eseguire un'azione indesiderata come la modifica delle informazioni utente.
Indurre un utente autenticato a effettuare una richiesta a uno degli endpoint può modificare il profilo utente (inclusa la password), portando al dirottamento dell'account.
Per correggere questa vulnerabilità, implementare un token CSRF per gli endpoint.
Il token CSRF rende difficile per un utente malintenzionato costruire una richiesta valida.
Deve essere imprevedibile e segreto.
sismics – Teedy (https://github.com/sismics/docs)
portswigger – Cross-site request forgery (CSRF) (https://portswigger.net/web-security/csrf)
Mozilla – Esempi di scenari di controllo degli accessi (https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#examples_of_access_control_scenarios)
Grazie, Ayato, per avermi insegnato come segnalare una vulnerabilità.
