abbisqq/cve-2025-28355Foi identificado que a aplicação https://github.com/Volmarg/personal-management-system é vulnerável a ataques CSRF.
Foi identificado que a aplicação https://github.com/Volmarg/personal-management-system é vulnerável a ataques CSRF. Uma das muitas ações que um atacante pode realizar é enganar um usuário legítimo para executar uma requisição entre sites que alterará sua senha, permitindo ao atacante acesso à aplicação. A vulnerabilidade requer navegadores que tenham o valor padrão do atributo “SameSite” de cookies como none, como o Firefox.
Vetor String: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
Pontuação CVSS: 4.7
Prova de conceito Para a demonstração, usarei o nome de usuário tester e alterarei a senha desse usuário para “missingcsrf” Note que o atacante pode alterar outros valores, como o apelido e a senha de bloqueio. A aplicação é geralmente vulnerável a CSRF, ou seja, um usuário malicioso pode enganar usuários para enviar arquivos, alterar senhas, bagunçar registros, etc.
Esta é uma página HTML simples que fará a requisição entre sites quando o usuário visitar a URL maliciosa.
Executando o acima em um navegador Firefox, a senha foi alterada com sucesso.
Finalmente, fazemos login com a senha modificada e podemos ver que somos redirecionados para a página do painel de controle, o que significa que o login foi bem-sucedido.
