CVE-2026-80210
Açıklama
FrontAccounting 2.4.20 sürümüne kadar, includes/ui/ui_controls.inc dosyasındaki end_form() içinde bir CSRF token'ı oluşturur ve bunu oluşturduğu her formda _token gizli alanı olarak gömer, ancak yalnızca admin/users.php ve admin/change_current_user_password.php dosyaları bunu doğrulamak için check_csrf_token() çağırır. gl/gl_journal.php, gl/gl_bank.php, purchasing/supplier_invoice.php, sales/customer_invoice.php, sales/customer_payments.php ve admin/company_preferences.php dahil olmak üzere hiçbir finansal işlem işleyicisi token'ı doğrulamaz, bu nedenle bu uç noktalar POST verileri üzerinde herhangi bir kaynak kontrolü olmadan işlem yapar. Kimliği doğrulanmış bir kullanıcıyı saldırganın kontrolündeki bir sayfayı yüklemeye yönlendiren bir saldırgan, bunlardan herhangi birine siteler arası bir form otomatik olarak gönderebilir ve sahte günlük kaydı, fatura, müşteri ödemesi, banka işlemi veya şirket yapılandırması değişikliğinin kurbanın oturumu altında kaydedilmesini sağlayabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FrontAccounting FrontAccounting | v ≤ 2.4.20 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.