CVE-2025-42616

vulnerability-lookup içerisindeki uygulama durumunu değiştiren bazı uç noktalar (örneğin veritabanı girişlerini, kullanıcı verilerini, yapılandırmaları değiştirme veya diğer ayrıcalıklı işlemler), bir CSRF belirteci gerektirmeden HTTP GET istekleri aracılığıyla erişilebilir olabilir. Bu açık, uygulamayı Siteler Arası İstek Sahteciliği (CSRF) saldırılarına karşı savunmasız bırakmaktadır: oturum açmış bir kullanıcıyı kötü amaçlı bir web sitesini ziyaret etmeye ikna eden bir saldırgan, kullanıcının tarayıcısının kimliği doğrulanmış oturumu bağlamında istenmeyen durum değiştirici işlemler gerçekleştiren GET istekleri göndermesine neden olabilir. Sunucu bu GET isteklerini geçerli olarak kabul ettiği için (herhangi bir CSRF koruması veya POST yöntemi zorunluluğu bulunmadığından), saldırgan bunu kullanıcının açık rızası veya bilgisi olmadan yetki yükseltmek, ayarları değiştirmek veya diğer yetkisiz işlemleri gerçekleştirmek için istismar edebilir. Düzeltme, tüm durum değiştirici uç noktaların artık HTTP POST istekleri gerektirmesini ve geçerli bir CSRF belirteci içermesini sağlar. Bu, durum değişikliklerinin rastgele siteler arası GET istekleri tarafından tetiklenemeyeceğini garanti eder. Bu sorun, 2.18.0 öncesindeki Vulnerability-Lookup sürümlerini etkilemektedir.