CVE-2021-45007

#Межсайтовая подделка запроса (CSRF)

Затронутый продукт и версия: Plesk Obsidian 18.0.37

Серьёзность: Высокая

Воздействие: Отправка запросов с данными атакующего

Описание: CSRF позволяет атакующему отправлять новые запросы, поскольку с запросами к серверу не передаётся никакой защиты CSRF_token.

Шаги воспроизведения:

1. Войдите в систему и попробуйте отправить любой запрос
2. Перехватите запрос с помощью Burp Suite

3. Обратите внимание, что с запросом к серверу не передаётся никакой защиты токеном
4. Напишите простой HTML-эксплойт для отправки запроса

5. Откройте его в браузере

6. Отправьте запрос

7. Вы обнаружите, что ваши данные успешно отправлены