wger 2.6.0-alpha2: Missing CSRF protection on GET-based password reset and user deactivation

漏洞概述 标题：GET-based password reset and account deactivation can be triggered without CSRF protection（基于 GET 的密码重置和账户停用可在无 CSRF 保护的情况下被触发） 编号：#2380 状态：Closed（已关闭） 优先级/影响：High（critical issue, blocks workflow） 问题类型：安全漏洞（CSRF 缺失） 影响范围 两个账户管理操作通过 GET 请求执行敏感状态变更： 1. （位于 ）：重置选定用户的密码，无需 POST。 2. （位于 ）：通过 停用选定用户，因此该变更由 GET 触发。 由于 Django 的 CSRF 保护不适用于 GET 请求，攻击者可在具备相应权限的情况下加载一个精心构造的 URL，从而未经确认地重置用户密码或停用用户账户。 安全影响：目标用户可能在未获其本人同意的情况下被锁定账户；密码重置时，旧密码被作废并生成新密码，且新密码会渲染在管理员的浏览器响应中。 修复方案 为这些操作使用 POST-only 视图，保持 Django CSRF 保护启用，并在应用变更之前渲染确认表单。 也应同步审查，因为它遵循相同的 状态变更模式。 POC / 利用代码 页面中未包含 POC 代码或利用代码块（仅以文字描述攻击方式：第三方页面可触发浏览器请求相应 URL，携带操作者的会话 Cookie）。 相关引用 关联 Issue：#2415 “Require POST for password reset and user deactivation” 关联提交： （closed this issue on Jul 10） 服务器版本： ； 报告 移动应用版本：不适用（Not applicable）

目標達成すべての支援者に感謝 — 100%達成しました！

wger 2.6.0-alpha2: Missing CSRF protection on GET-based password reset and user deactivation

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

wger 2.6.0-alpha2: Missing CSRF protection on GET-based password reset and user deactivation

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！