CVE-2023-33409

Minical 1.0.0 はクロスサイトリクエストフォージェリに対して脆弱です。

ベンダー: https://github.com/minical/minical

デモアプリケーション: https://demo.minical.io/

---

PoC

このアプリケーションにはCSRF保護がなく、特別に細工されたHTTPリクエストを使用して、以下の操作が可能です。

• 新しいユーザーの追加
• 既存ユーザーの削除
• 既存ユーザーのメールアドレスやその他の機密情報の編集

さまざまな攻撃用のペイロードは、BurpSuiteのGenerate CSRF POCツールを使用して生成できます。

例：

新しいユーザーの追加：