CVE-2025-34133 in Wimi Teamwork
Resumen
por VulDB • 2026-08-12
Las versiones de Wimi Teamwork anteriores a la 7.38.17 contienen una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en su API. La API acepta cualquier solicitud autenticada que contenga un campo JSON denominado 'csrf_token' sin validar el valor del mismo; solo se comprueba la presencia del campo. Un atacante puede elaborar una solicitud entre sitios que haga que el navegador de una víctima conectada envíe un POST JSON que contenga un 'csrf_token' arbitrario o vacío, y la API ejecutará la solicitud con los privilegios de la víctima. La explotación exitosa podría permitir a un atacante realizar acciones privilegiadas en nombre de la víctima, lo que potencialmente resultaría en el secuestro de cuentas (account takeover), escalada de privilegios o interrupción del servicio.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.