ثغرة تزوير الطلبات عبر المواقع (CSRF) في CrushFTP الإصدارات التي تسبق 7.3.0 عبر ⼐WebInterface⼐function⼐

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي CrushFTP في الإصدارات التي تسبق 7.3.0 على ثغرة تزوير الطلبات عبر المواقع التي تسمح للمهاجمين بتنفيذ إجراءات إدارية نظرًا لأن حماية CSRF معطلة افتراضيًا. يمكن للمهاجمين استدراج مسؤول مصادق عليه لزيارة صفحة خبيثة ترسل طلبات POST إلى أوامر مثل setUserItem، مما يؤدي إلى إنشاء مستخدمين بصلاحيات root أو تغيير إعدادات الخادم.

المعالجة

1. أحصِ جميع نشرات CrushFTP CrushFTP، بما فيها بيئات الاختبار.
2. رقِّ CrushFTP CrushFTP إلى الإصدار 7.3.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://www.vulncheck.com/advisories/crushftp-before-7.3.0-cross-site-request-forgery-via-webinterface-function
• مرجعhttps://www.crushftp.com/version7.html
• مرجعhttps://www.exploit-db.com/exploits/36126