关键漏洞信息 受影响产品 产品名称: Traffic Offense Reporting System V1.0 厂商主页: https://code.pro.arcsec.cn/traffic-offense-reporting-system/-/tree/master/source-code 影响版本 版本: V1.0 漏洞类型 类型: Cross-Site Request Forgery (CSRF) 根因 CSRF防护机制存在缺陷，导致攻击者可以利用恶意链接诱骗用户执行未经授权的操作。 影响 攻击者可以通过该漏洞进行非法操作，如添加管理员账号、篡改系统数据等，严重威胁系统安全和业务正常运行。 描述 在Traffic Offense Reporting System中发现了一个CSRF漏洞，允许攻击者通过构造恶意请求，诱骗用户执行未授权操作，如添加管理员账号、修改系统配置等。 漏洞细节与POC 漏洞位置: 添加用户的URL Payload: 概念验证 使用上述payload示例，当用户访问包含此HTML的页面时，会自动提交表单，创建一个名为“test”的管理员账号。 源码追踪 函数直接处理参数，没有进行CSRF检查。 日志记录功能也存在类似问题，未对请求进行验证。 漏洞重现 通过构造恶意HTML页面并诱导用户访问，可以触发CSRF攻击，成功添加管理员账号。