anonhaven
Ad

CVE-2022-51020

MEDIUM CVSS 4.0: 6,0 EPSS 0.14%
Обновлено 16 октября 2026
Flower
Параметр Значение
CVSS 6,0 (MEDIUM)
Уязвимые версии до 2.2.0
Тип уязвимости CWE-352 (Подделка межсайтовых запросов (CSRF))
Поставщик Flower
Публичный эксплойт Нет

Flower before 2.2.0 contains a cross-site request forgery vulnerability because Tornado xsrf_cookies is disabled and the OAuth session cookie lacks SameSite. Attackers can lure authenticated users to malicious pages that POST to /api/worker/shutdown, /api/worker/pool/restart, or /api/task/revoke to shut down Celery workers, resize pools, and revoke tasks.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Высокое
Полный отказ в обслуживании

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-352 Cross-Site Request Forgery (CSRF) (Подделка межсайтовых запросов (CSRF))

Ссылки 6

https://github.com/mher/flower
disclosure@vulncheck.com
https://github.com/mher/flower/blob/v2.1.0/flower/api/control.py#L25-L27
disclosure@vulncheck.com
https://github.com/mher/flower/commit/3b2115af7f9c42bd2da2fbcbd919f77013e9ec51
disclosure@vulncheck.com
https://github.com/mher/flower/commit/a14408b16cc3d2877d36659005ce0d72b6162629
disclosure@vulncheck.com
https://github.com/mher/flower/issues/1217
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/flower-before-2.2.0-csrf-via-worker-and-ta…
disclosure@vulncheck.com
Share Post Share Share Share