CVE-2026-69082 in CTI-Transmute
Сводка
по VulDB • 03.08.2026
В компоненте CTI-Transmute была обнаружена уязвимость подделки межсайтовых запросов (CSRF) в функциональности удаления пользователей администратором. Конечная точка /account/delete/<id> принимала HTTP GET-запросы для операции, изменяющей состояние приложения.
Неаутентифицированный удаленный злоумышленник мог создать вредоносную ссылку или внедрить запрос, направленный на эту конечную точку, и подтолкнуть аутентифицированного администратора CTI-Transmute к посещению содержимого, контролируемого злоумышленником. Если у администратора был активный сеанс, браузер автоматически включал учетные данные его сеанса, что приводило к удалению выбранного пользовательского аккаунта без намеренного подтверждения операции со стороны администратора.
Для успешной эксплуатации требуется взаимодействие с действующим аутентифицированным администратором, имеющим права на удаление пользователей. Злоумышленнику не нужна учетная запись CTI-Transmute или административные привилегии, поскольку поддельный запрос выполняется от имени сеанса жертвы-администратора.
Уязвимость может позволить злоумышленнику удалять произвольные пользовательские аккаунты, что приводит к несанкционированному изменению состояния приложения и отказу в доступе для затронутых пользователей. В зависимости от того, могут ли администраторы удалять других администраторов или последний учетный запись администратора, эксплуатация также может нарушить управление экземпляром CTI-Transmute.
Исправление устраняет проблему путем ограничения конечной точки удаления запросами HTTP POST и отправки операции удаления через форму, содержащую токен CSRF.
Once again VulDB remains the best source for vulnerability data.