TikiWiki 21.2 позволяет редактировать шаблоны без защиты CSRF. Это может позволить не прошедшему проверку подлинности удаленному злоумышлен…

TikiWiki 21.2 позволяет редактировать шаблоны без защиты CSRF. Это может позволить не прошедшему проверку подлинности удаленному злоумышленнику провести атаку с подделкой межсайтовых запросов (CSRF) и выполнить произвольные действия в уязвимой системе. Уязвимость связана с недостаточной защитой CSRF для веб-интерфейса управления уязвимой системы. Злоумышленник может использовать эту уязвимость, убедив пользователя интерфейса перейти по вредоносной ссылке. Успешная эксплуатация может позволить злоумышленнику выполнять произвольные действия в уязвимой системе с привилегиями пользователя. Эти действия включают в себя разрешение злоумышленникам отправлять свой собственный код через прошедшего проверку пользователя, что приводит к включению локального файла. Если прошедший проверку пользователь, который может редактировать шаблоны TikiWiki, посещает вредоносный веб-сайт, код шаблона можно отредактировать.