CVE-2023-33409

Minical 1.0.0은 사이트 간 요청 위조(CSRF)에 취약합니다.

공급업체: https://github.com/minical/minical

데모 애플리케이션: https://demo.minical.io/

---

PoC

이 애플리케이션에는 CSRF 보호 기능이 없으므로 특별히 조작된 HTTP 요청을 사용하여 다음을 수행할 수 있습니다.

• 새 사용자 추가
• 기존 사용자 삭제
• 기존 사용자의 이메일 주소 및 기타 민감한 정보 수정

다양한 공격에 대한 페이로드는 BurpSuite의 Generate CSRF POC 도구를 사용하여 생성할 수 있습니다.

예:

새 사용자 추가: