Multiple cross-site request forgery (CSRF) vulnerabilities in the ACL Manager plugin (plugins/acl/ajax.php) in DokuWiki before 2009-12-25c a

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• dokuwiki dokuwikirelease_2009-02-14 dahil
• dokuwiki dokuwiki2004-07-04
• dokuwiki dokuwiki2004-07-07
• dokuwiki dokuwiki2004-07-12
• dokuwiki dokuwiki2004-07-21
• dokuwiki dokuwiki2004-07-25
• dokuwiki dokuwiki2004-08-08
• dokuwiki dokuwiki2004-08-15a
• dokuwiki dokuwiki2004-08-22
• dokuwiki dokuwiki2004-09-12
• dokuwiki dokuwiki2004-09-25
• dokuwiki dokuwiki2004-09-30
• dokuwiki dokuwiki2004-11-01
• dokuwiki dokuwiki2004-11-02
• dokuwiki dokuwiki2004-11-10
• dokuwiki dokuwiki2005-01-14
• dokuwiki dokuwiki2005-01-15
• dokuwiki dokuwiki2005-01-16a
• dokuwiki dokuwiki2005-02-06
• dokuwiki dokuwiki2005-02-18

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2009-1960inc/init.php in DokuWiki 2009-02-14, rc2009-02-06, and rc2009-01-30, when register_globals is enabled, allows remote attackers to include an
  44Planlayın
• CVE-2018-15474CSV Injection (aka Excel Macro Injection or Formula Injection) in /lib/plugins/usermanager/admin.php in DokuWiki 2018-04-22a and earlier all
  39İzleyin
• CVE-2017-18123The call parameter of /lib/exe/ajax.php in DokuWiki through 2017-02-19e does not properly encode user input, which leads to a reflected file
  35İzleyin
• CVE-2016-7964The sendRequest method in HTTPClient Class in file /inc/HTTPClient.php in DokuWiki 2016-06-26a and older, when media file fetching is enable
  35İzleyin
• CVE-2010-0288A typo in the administrator permission check in the ACL Manager plugin (plugins/acl/ajax.php) in DokuWiki before 2009-12-25b allows remote a
  33İzleyin
• CVE-2019-25338Dokuwiki 2018-04-22b - Username Enumeration
  27İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Durum değiştiren istekler tarayıcının otomatik gönderdiği oturum çerezine dayanıyor; isteğin kullanıcının kendi sayfasından geldiği doğrulanmıyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.