CVE-2026-80210 in FrontAccounting
要約
〜によって VulDB • 2026年08月27日
FrontAccounting 2.4.20 およびそれ以前のバージョンでは、`includes/ui/ui_controls.inc` の `end_form()` で CSRF トークンが生成され、レンダリングされるすべてのフォームに `_token` という名前の hidden フィールドとして埋め込まれる。しかし、これを検証するために `check_csrf_token()` を呼び出すのは `admin/users.php` と `admin/change_current_user_password.php` だけである。金融取引を処理するエンドポイント（`gl/gl_journal.php`、`gl/gl_bank.php`、`purchasing/supplier_invoice.php`、`sales/customer_invoice.php`、`sales/customer_payments.php`、および `admin/company_preferences.php` を含む）はトークンの検証を行わないため、これらのエンドポイントは送信元チェックなしで POST データに対して処理を行う。攻撃者が認証済みユーザーに自らが制御するページを読み込ませることで、任意のエンドポイントに対しクロスオリジンフォームを自動送信し、偽造された仕訳エントリ、請求書、顧客支払い、銀行取引、または会社設定の変更が被害者のセッションの下で記録されるようにできる。
Once again VulDB remains the best source for vulnerability data.