sudo-sakib/cve-2025-25965CVE-2025-25965는 Phpgurukul Online Banquet Booking System v1.2에서 새로 발견된 CSRF 취약점으로, 원격 공격자가 인증된 세션을 악용해 사용자의 동의 없이 이메일 주소를 변경할 수 있게 합니다.
사이트 간 요청 위조(CSRF)는 오늘날 웹 애플리케이션에 영향을 미치는 가장 간과되면서도 위험한 취약점 중 하나로 남아 있습니다. CVE-2025-25965는 Phpgurukul Online Banquet Booking System v1.2에서 새로 발견된 CSRF 취약점으로, 원격 공격자가 인증된 세션을 악용하여 사용자의 동의 없이 이메일 주소를 변경할 수 있게 합니다.
CVE ID: CVE-2025-25965
취약점 유형: 사이트 간 요청 위조(CSRF)
영향을 받는 제품: Online Banquet Booking System - v1.2
영향을 받는 구성 요소: 사용자 프로필 업데이트 기능(profile.php)
영향: 무단 계정 수정
공격 유형: 원격
심각도: 높음
발견자: Sakib Shaikh
영향을 입증하려면 다음 단계별 지침을 따르세요:
로컬 서버에 Online Banquet Booking System v1.2를 설치하고 구성합니다.
PHPGurukul이 제공한 자격 증명으로 로그인합니다.
사용자 프로필 섹션으로 이동합니다.
이메일 주소를 변경하고 Burp Suite에서 해당 요청을 가로챕니다.
CSRF 토큰이 없는 것을 확인합니다.
CSRF 페이로드를 생성하고 시크릿 모드에서 엽니다.
이메일이 변경되는 것을 확인합니다.
이 취약점은 애플리케이션이 프로필 업데이트 기능에 CSRF 토큰과 같은 CSRF 보호 메커니즘을 구현하지 않기 때문에 발생합니다. 이로 인해 공격자는 인증된 사용자를 속여 이메일 주소를 변경하는 악성 요청을 사용자가 모르는 사이에 실행하게 할 수 있습니다.
https://phpgurukul.com/online-banquet-booking-system-using-php-and-mysql/
