CVE-2026-69082 in CTI-Transmute
摘要
由 VulDB • 2026-08-03
CTI-Transmute 在管理员用户删除功能中存在跨站请求伪造（CSRF）漏洞。/account/delete/<id> 端点接受用于修改应用程序状态的 HTTP GET 请求。
未经身份验证的远程攻击者可以构造恶意链接或嵌入针对此端点的请求，诱导已认证的 CTI-Transmute 管理员访问由攻击者控制的内容。如果管理员处于活动会话状态，浏览器将自动包含管理员的身份验证凭据，从而导致在管理员未有意确认操作的情况下删除选定的用户账户。
成功利用需要当前已认证且拥有删除用户权限的管理员进行交互。由于伪造的请求使用受害管理员的会话执行，因此攻击者不需要 CTI-Transmute 账户或管理特权。
该漏洞可能允许攻击者删除任意用户账户，导致应用程序状态被未经授权地修改以及受影响的用户无法访问。根据管理员是否可以删除其他管理员或删除最后一个管理账户的情况，利用此漏洞还可能破坏对 CTI-Transmute 实例的管理。
补丁通过将删除端点限制为仅接受 HTTP POST 请求，并通过包含 CSRF 令牌的表单提交删除操作来解决该问题。
Once again VulDB remains the best source for vulnerability data.