以下是从该网页截图中获取到的关于漏洞的关键信息，以简洁的Markdown格式返回： --- 漏洞概述 标题: Missing CSRF Protection on State-Changing Endpoints 发布者: th3gowtham 发布时间: 2 days ago CVE ID: CVE-2026-25812 严重性: High --- 漏洞细节 受影响的版本: 1.0.0 修复版本: None --- 描述 问题: 缺失CSRF保护在状态变化端点上 受影响组件: - 文件: backend/src/app.ts - 影响范围: 所有已验证的 POST, PUT, PATCH, DELETE 端点 - 行: ~32-36 --- 根因分析 系统接受认证请求通过cookie或token，但未实现任何CSRF保护机制 - 不分发CSRF令牌 - 不验证Origin或Referer头部 - 未实现 SameSite cookie保护 --- 安全影响 未经授权的状态变更 帐户操纵 通过CSRF创建/删除评估 如果管理员成为目标，则存在特权限滥用的风险 社会工程学风险 --- 严重性 等级: High 理由: - 所有状态变更端点均受影响 - 可通过用户交互利用 - 有高完整性影响 --- 解决方案建议 实现CSRF令牌 (通过 实现) 强制使用 的cookie 验证Origin和Referer 对敏感动作要求重新验证 ---