CVE-2023-40868

mooSocial MooSocial Software v.Demo には Cross Site Request Forgery の脆弱性が存在し、リモートの攻撃者が Delete Account 機能および Deactivate 機能を介して任意のコードを実行できる可能性があります。

この脆弱性は、mooSocial MooSocial Software v.Demo アプリケーションにおけるクロスサイトリクエストフォージェリ（CSRF）の脆弱性です。CSRF の脆弱性は、悪意のある攻撃者が被害者を騙して、意図していない操作を実行させることができる場合に発生します。この場合、悪意のある攻撃者は、被害者を騙して、悪意のあるコードを含むリンクをクリックさせたり、ファイルを開かせたりする可能性があります。このコードは、被害者のアカウントを削除したり、アカウントを非アクティブ化したりするために使用される可能性があります。

POC

1 - この CODE を使用してファイルを作成し、HTML として保存します。 アカウント削除攻撃

または、この CODE を使用してファイルを作成し、HTML として保存します。 アカウント非アクティブ化攻撃

2 - 例: test.html

3 - 被害者に送信します

4 - 被害者が html を開くと、test.html ファイルがブラウザで開かれ、ボタンをクリックすると、 コードが実際のセッションで変更されます。