CVE-2017-6086

ViMbAdmin 3.0.15 sürümündeki addAction ve purgeAction fonksiyonlarında bulunan birden fazla siteler arası istek sahteciliği (CSRF) zafiyeti, uzaktaki saldırganların oturum açmış yöneticilerin kimlik doğrulamasını ele geçirerek şunları yapmasına olanak tanır: (1) <vimbadmin directory>/application/controllers/DomainController.php adresine gönderilen özel olarak hazırlanmış bir POST isteği ile yönetici kullanıcısı eklemek, (2) <vimbadmin directory>/application/controllers/DomainController.php adresine gönderilen özel olarak hazırlanmış bir GET isteği ile yönetici kullanıcısını kaldırmak, (3) <vimbadmin directory>/application/controllers/DomainController.php adresine gönderilen özel olarak hazırlanmış bir POST isteği ile yönetici şifresini değiştirmek, (4) <vimbadmin directory>/application/controllers/MailboxController.php adresine gönderilen özel olarak hazırlanmış bir POST isteği ile posta kutusu eklemek, (5) <vimbadmin directory>/application/controllers/MailboxController.php adresine gönderilen özel olarak hazırlanmış bir POST isteği ile posta kutusunu silmek, (6) <vimbadmin directory>/application/controllers/ArchiveController.php adresine gönderilen özel olarak hazırlanmış bir GET isteği ile posta kutusu adresini arşivlemek, (7) <vimbadmin directory>/application/controllers/AliasController.php adresine gönderilen özel olarak hazırlanmış bir POST isteği ile takma ad adresi eklemek veya (8) <vimbadmin directory>/application/controllers/AliasController.php adresine gönderilen özel olarak hazırlanmış bir GET isteği ile takma ad adresini kaldırmak.