CVE-2026-69082 in CTI-Transmute
要約
〜によって VulDB • 2026年08月03日
CTI-Transmuteには、管理者ユーザー削除機能におけるクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在しました。/account/delete/<id>エンドポイントは、アプリケーションの状態を変更する操作に対してHTTP GETリクエストを受け付けていました。
認証されていないリモート攻撃者は、このエンドポイントを標的とした悪意のあるリンクを作成したり、要求を埋め込んだりして、認証済みCTI-Transmute管理者に攻撃者が制御するコンテンツへのアクセスを誘導することができます。管理者がアクティブなセッションを持っている場合、ブラウザは自動的にその管理者のセッション資格情報を送信し、管理者による明示的な操作確認なしに選択されたユーザーアカウントが削除されます。
成功した悪用には、現在認証済みでユーザー削除権限を持つ管理者との相互作用が必要です。攻撃者はCTI-Transmuteのアカウントや管理権限を必要としません。なぜなら、偽造されたリクエストは被害者である管理者のセッションを使用して実行されるからです。
この脆弱性により、攻撃者は任意のユーザーアカウントを削除でき、アプリケーション状態への不正な変更および影響を受けるユーザーによるアクセス拒否を引き起こす可能性があります。管理者が他の管理者や最後の管理アカウントを削除できるかどうかによって、悪用はCTI-Transmuteインスタンスの管理運用を妨害する可能性もあります。
パッチでは、削除エンドポイントをHTTP POSTリクエストに制限し、CSRFトークンを含むフォームを通じて削除を送信することでこの問題を解決しています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.