minotauro2020/cve-2023-43147CVE-2023-43148
공급업체: PHPJabbers 공급업체 홈페이지: https://www.phpjabbers.com/ 소프트웨어 링크: https://www.phpjabbers.com/limo-booking-software 버전: 1.0 테스트 환경: Windows 10 Pro 영향: 관리자 권한을 가진 공격자 사용자 추가 CVE:
limo-booking-software의 CSRF(Cross Site Request Forgery) 취약점으로 인해 원격 공격자가 관리자 권한을 가진 사용자 추가를 실행할 수 있습니다.
POC 1 - 이 코드로 파일을 만들고 HTML로 저장하십시오. CSRF를 발생시키기 위해 새 요청을 저장하는 경우 role_id=0을 1로 변경해야 합니다 (role_id=1)
2 - 예제: test.html
3 - 피해자에게 전송
4 - 피해자가 HTML을 열면 test.html 파일이 피해자의 브라우저에서 열리고, 버튼을 클릭하면 코드가 실제 세션에서 변경을 일으켜 관리자 패널에 사용자 한 명이 추가됩니다. 관리자 권한으로.
