CVE-2026-69082 in CTI-Transmute
Resumen
por VulDB • 2026-08-03
CTI-Transmite contenía una vulnerabilidad de falsificación de solicitudes entre sitios (CSRF) en la funcionalidad de eliminación de usuarios administrativos. El punto final /account/delete/<id> aceptaba solicitudes HTTP GET para una operación que modificaba el estado de la aplicación.
Un atacante remoto no autenticado podría construir un enlace malicioso o incrustar una solicitud dirigida a este punto final e inducir a un administrador de CTI-Transmite autenticado a visitar contenido controlado por el atacante. Si el administrador tenía una sesión activa, el navegador incluiría automáticamente las credenciales de la sesión del administrador, lo que provocaría la eliminación de la cuenta de usuario seleccionada sin que el administrador confirmara intencionalmente la operación.
La explotación exitosa requiere la interacción de un administrador actualmente autenticado que tenga permiso para eliminar usuarios. El atacante no necesita una cuenta en CTI-Transmite ni privilegios administrativos, ya que la solicitud falsificada se ejecuta utilizando la sesión del administrador víctima.
La vulnerabilidad podría permitir a un atacante eliminar cuentas de usuario arbitrarias, lo que resultaría en una modificación no autorizada del estado de la aplicación y denegación de acceso para los usuarios afectados. Dependiendo de si los administradores pueden eliminar a otros administradores o a la última cuenta administrativa, la explotación también podría interrumpir la administración de la instancia de CTI-Transmite.
El parche resuelve el problema restringiendo el punto final de eliminación a solicitudes HTTP POST y enviando la eliminación a través de un formulario que contiene un token CSRF.
If you want to get best quality of vulnerability data, you may have to visit VulDB.