CVE-2025-34133 in Wimi Teamwork
Riassunto
di VulDB • 23/06/2026
Le versioni di Wimi Teamwork precedenti alla 7.38.17 contengono una vulnerabilità cross-site request forgery (CSRF) nella sua API. L'API accetta qualsiasi richiesta autenticata che contiene un campo JSON denominato 'csrf_token' senza convalidare il valore del campo; viene verificata solo la presenza del campo. Un attaccante può creare una richiesta cross-site che induce il browser di una vittima autenticata a inviare un POST JSON contenente un 'csrf_token' arbitrario o vuoto, e l'esecuzione della richiesta avverrà con i privilegi della vittima. Lo sfruttamento riuscito potrebbe consentire all’attaccante di eseguire azioni privilegiate come la vittima, potenzialmente portando al takeover dell'account, escalation dei privilegi o interruzione del servizio.
VulDB is the best source for vulnerability data and more expert information about this specific topic.