CVE-2024-56924

Описание уязвимости

Уязвимость подделки межсайтовых запросов (CSRF) существует в системе code astro Internet Banking System версии 2.0.0, что позволяет удаленным злоумышленникам выполнять несанкционированные действия от имени аутентифицированных пользователей, таких как администраторы, без их ведома. Создав вредоносную HTML-страницу, злоумышленник может обманом заставить аутентифицированного пользователя (например, администратора) отправить запрос на изменение конфиденциальных данных учетной записи (например, имени, электронной почты) в целевой системе. Эта уязвимость возникает из-за отсутствия защиты CSRF на странице изменения учетной записи (например, pages_account.php), что позволяет злоумышленнику обойти механизмы безопасности и выполнить несанкционированные действия от имени пользователя.

Затронутые версии

2.0.0

Исследователь

Pratheep M

Доказательство концепции

ПОШАГОВАЯ ИНСТРУКЦИЯ

Ниже я добавил видео PoC для вашего ознакомления.

ШАГ 1: Нажмите на панель администратора и войдите в систему, используя учетные данные по умолчанию.

ШАГ 2: Перейдите в раздел «Учетные записи» и используйте Burp Suite для перехвата запроса.

ШАГ 3: Нажмите кнопку «Обновить» и захватите запрос. Затем щелкните правой кнопкой мыши на панели, перейдите в «Инструменты взаимодействия» → «Создать CSRF PoC».

ШАГ 4: Измените запрос, чтобы обновить поля имени и электронной почты, и нажмите «Проверить в браузере».

ШАГ 5: Вставьте PoC в браузер, и вы увидите, что имя и электронная почта успешно изменены.

Видео PoC