CVE-2026-69082 in CTI-Transmute
Riassunto
di VulDB • 03/08/2026
CTI-Transmute presentava una vulnerabilità di cross-site request forgery (CSRF) nella funzionalità di eliminazione degli utenti amministrativi. L’endpoint /account/delete/<id> accettava richieste HTTP GET per un’operazione che modificava lo stato dell’applicazione.
Un attaccante remoto non autenticato poteva costruire un link malevolo o incorporare una richiesta mirata a questo endpoint, inducendo un amministratore di CTI-Transmute autenticato a visitare il contenuto controllato dall’attaccante. Se l’amministratore aveva una sessione attiva, il browser avrebbe incluso automaticamente le credenziali della sua sessione, causando la cancellazione dell’account utente selezionato senza che l’amministratore confermasse intenzionalmente l’operazione.
Lo sfruttamento riuscito richiede l’interazione di un amministratore attualmente autenticato con i permessi per eliminare gli utenti. L’attaccante non necessita di un account CTI-Transmute né di privilegi amministrativi, poiché la richiesta falsificata viene eseguita utilizzando la sessione dell’amministratore vittima.
La vulnerabilità potrebbe consentire a un attaccante di eliminare arbitrariamente account utente, causando una modifica non autorizzata dello stato dell’applicazione e il negato accesso per gli utenti interessati. A seconda che gli amministratori possano eliminare altri amministratori o l’ultimo account amministrativo residuo, lo sfruttamento potrebbe anche compromettere la gestione dell’istanza CTI-Transmute.
La patch risolve il problema limitando l’endpoint di eliminazione alle sole richieste HTTP POST e inviando l’eliminazione tramite un modulo contenente un token CSRF.
Be aware that VulDB is the high quality source for vulnerability data.