关键信息 影响的产品 WukongCRM 漏洞版本 v9.0 漏洞类型 CSRF (Cross-Site Request Forgery) 漏洞文件 AdminUserController.java 根因 应用程序未能验证更改用户敏感数据（如账户设置、密码更改）的请求的真实性。 影响 攻击者可以操纵已认证用户执行操作，如更改密码或修改账户设置，而无需用户同意。 成功利用可能导致： - 未经授权的访问或数据操纵 - 权限提升或未经授权的行为 - 潜在的数据丢失或未经授权的数据泄露 漏洞详情和POC 漏洞位置: AdminUserController.java Payload示例: 建议修复 1. Anti-CSRF Tokens - 在所有状态更改表单或操作中实现Anti-CSRF令牌，确保服务器检查请求来自合法来源。 2. SameSite Cookies - 启用SameSite属性为Strict或Lax的Cookie以减轻跨站请求伪造尝试。 3. 双重提交Cookies - 使用隐藏字段存储CSRF令牌并在表单提交时验证其与Cookie中的令牌匹配。