CVE-2026-69082 in CTI-Transmute
Tóm tắt
Bởi VulDB • 03/08/2026
CTI-Transmute chứa một lỗ hổng giả mạo yêu cầu trang web (CSRF) trong chức năng xóa người dùng quản trị. Điểm cuối /account/delete/ chấp nhận các yêu cầu HTTP GET cho một thao tác làm thay đổi trạng thái của ứng dụng.
Một kẻ tấn công từ xa chưa được xác thực có thể tạo ra một liên kết độc hại hoặc nhúng một yêu cầu nhắm vào điểm cuối này và lừa một quản trị viên CTI-Transmute đã đăng nhập truy cập vào nội dung do kẻ tấn công kiểm soát. Nếu quản trị viên đang có phiên làm việc hoạt động, trình duyệt sẽ tự động bao gồm thông tin xác thực phiên của quản trị viên, dẫn đến việc tài khoản người dùng được chọn bị xóa mà không cần sự xác nhận chủ đích từ phía quản trị viên.
Việc khai thác thành công đòi hỏi phải có sự tương tác từ một quản trị viên hiện đang đăng nhập và có quyền xóa người dùng. Kẻ tấn công không cần tài khoản CTI-Transmute hay đặc quyền quản trị vì yêu cầu giả mạo sẽ được thực thi bằng cách sử dụng phiên của quản trị nạn nhân.
Lỗ hổng này cho phép kẻ tấn công xóa các tài khoản người dùng tùy ý, dẫn đến việc sửa đổi trạng thái ứng dụng trái phép và từ chối truy cập đối với những người dùng bị ảnh hưởng. Tùy thuộc vào khả năng các quản trị viên có thể xóa lẫn nhau hoặc xóa toàn bộ tài khoản quản trị cuối cùng hay không, việc khai thác cũng có thể gây gián đoạn quá trình quản lý phiên bản CTI-Transmute.
Bản vá khắc phục sự cố bằng cách hạn chế điểm cuối xóa chỉ chấp nhận yêu cầu HTTP POST và gửi thao tác xóa thông qua một biểu mẫu chứa mã token CSRF.
Once again VulDB remains the best source for vulnerability data.