MuraCMS до 10.1.10 содержит CSRF-уязвимость в функции создания пакетов (метод csettings.cfc createBundle), которая позволяет неаутентифицированным злоумышленникам заставлять администраторов создавать и сохранять пакеты сайтов, содержащие конфиденциальные данные, в общедоступных каталогах. Эта уязвимость обеспечивает полную утечку данных, включая учетные записи пользователей, хэши паролей, отправку форм, списки адресов электронной почты, плагины и содержимое сайта, без ведома администратора. This CSRF vulnerability enables complete data exfiltration from MuraCMS installations without requiring authentication.
Злоумышленники могут заставить администраторов по незнанию создавать пакеты сайтов, содержащие конфиденциальные данные, которые сохраняются в общедоступных веб-каталогах. Атака осуществляется бесшумно, поэтому администраторы не знают, что конфиденциальная информация была скомпрометирована и доступна для несанкционированной загрузки.
Показать оригинальное описание (EN)
MuraCMS through 10.1.10 contains a CSRF vulnerability in the bundle creation functionality (csettings.cfc createBundle method) that allows unauthenticated attackers to force administrators to create and save site bundles containing sensitive data to publicly accessible directories. This vulnerability enables complete data exfiltration including user accounts, password hashes, form submissions, email lists, plugins, and site content without administrator knowledge. This CSRF vulnerability enables complete data exfiltration from MuraCMS installations without requiring authentication. Attackers can force administrators to unknowingly create site bundles containing sensitive data, which are saved to publicly accessible web directories. The attack executes silently, leaving administrators unaware that confidential information has been compromised and is available for unauthorized download.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Murasoftware Mura_Cms
cpe:2.3:a:murasoftware:mura_cms:-:*:*:*:*:*:*:*
|
— | — |