Összefoglaló
A CubeCart olyan sérülékenysége vált ismertté, melyet kihasználva támadók cross-site kérés hamisításos támadásokat tudnak végrehajtani.
Leírás
Az alkalmazás megengedi a felhasználóknak bizonyos tevékenységek elvégzését HTTP kérések segítségével anélkül, hogy megfelelően ellenőrizné a kérések érvényességét. Ez kihasználható új admin felhasználók hozzáadására, amennyiben egy bejelentkezett admin felhasználót sikerül rávenni egy speciálisan erre a célra elkészített weboldal meglátogatására.
A sérülékenység a 3.0.4-es és 4.4.3-as verzióban található, egyéb verziók is érintettek lehetnek.
Megoldás
Kizárólag megbízható weboldalakat látogasson meg, ha be van jelentkezve az alkalmazásba.
Támadás típusa
Input manipulation (Bemenet módosítás)Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
SECUNIA 42728
Egyéb referencia: www.exploit-db.com