CVE-2025-42616

vulnerability-lookup daxilində tətbiqin vəziyyətini dəyişdirən bəzi son nöqtələr (endpoint-lər) (məsələn, verilənlər bazası qeydlərinin, istifadəçi məlumatlarının, konfiqurasiyaların dəyişdirilməsi və ya digər imtiyazlı əməliyyatlar) CSRF tokeni tələb olunmadan HTTP GET sorğuları vasitəsilə əlçatan ola bilərdi. Bu çatışmazlıq tətbiqi Saytlararası Sorğu Saxtakarlığı (CSRF) hücumlarına qarşı həssas edir: giriş etmiş istifadəçini zərərli vebsayta daxil olmağa sövq edən hücumçu, istifadəçinin brauzerinin onun autentifikasiya edilmiş sessiyası kontekstində qeyri-ixtiyari vəziyyət-dəyişdirici əməliyyatları yerinə yetirən GET sorğuları göndərməsinə səbəb ola bilər. Server bu GET sorğularını etibarlı hesab etdiyi üçün (çünki heç bir CSRF qoruması və ya POST metodunun məcburi tətbiqi mövcud deyildi), hücumçu bundan istifadə edərək istifadəçinin açıq razılığı və ya xəbərdarlığı olmadan imtiyazları yüksəldə, parametrləri dəyişdirə və ya digər icazəsiz əməliyyatlar yerinə yetirə bilərdi. Düzəliş bütün vəziyyət-dəyişdirici son nöqtələrin artıq HTTP POST sorğularını tələb etməsini və etibarlı CSRF tokeninin daxil edilməsini təmin edir. Bu, vəziyyət dəyişikliklərinin ixtiyari saytlararası GET sorğuları ilə tetiklenməməsini təmin edir. Bu problem Vulnerability-Lookup versiya 2.18.0-dan əvvəlki versiyalara təsir edir.