关键信息总结 漏洞详情 漏洞类型: CSRF (跨站请求伪造) 受影响的API: 影响版本: Shopizer 5.3.0 测试环境设置 JDK: 1.8 构建工具: Maven 启动方式: MyEclipse 复现步骤 1. 创建测试用户 使用以下命令创建一个测试用户： 2. 基于cURL的利用 2.1 登录系统 使用以下命令登录系统并获取JWT令牌： 2.2 利用漏洞 构造恶意请求，通过CSRF攻击添加或修改用户角色： 3. 基于浏览器的利用 3.1 登录系统 在浏览器中登录系统，并获取必要的Cookie和Token。 3.2 利用漏洞 构造恶意HTML页面，诱导用户点击，触发CSRF攻击： 总结 该漏洞允许攻击者通过CSRF攻击非法修改用户角色，从而提升权限。建议修复此漏洞以防止未经授权的访问和操作。