Visão Geral

A vulnerabilidade de falsificação de solicitação entre sites(CSRF) nas versões do Teedy <= v1.11 permite que atacantes remotos forcem um usuário final a alterar suas informações de usuário(nome de usuário, senha, etc...) no aplicativo web no qual está autenticado no momento.

Vulnerabilidade

Devido à falta de proteção contra CSRF, é possível enganar um usuário autenticado para que execute uma ação indesejada, como alterar informações do usuário.
Enganar um usuário autenticado para que faça uma solicitação a um dos endpoints pode alterar o perfil do usuário(incluindo a senha), levando à tomada de conta.

Correção

Para corrigir esta vulnerabilidade, implemente um token CSRF para os endpoints.
O token CSRF torna difícil para um atacante construir uma solicitação válida.
Ele deve ser imprevisível e secreto.

Referências

sismics - Teedy(https://github.com/sismics/docs)
portswigger - Cross-site request forgery(CSRF)(https://portswigger.net/web-security/csrf)
Mozilla - Exemplos de cenários de controle de acesso(https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS#examples_of_access_control_scenarios)

Créditos

Obrigado, Ayato por me ensinar a reportar uma vulnerabilidade.