关键信息 漏洞类型 Cross-Site Request Forgery (CSRF) 影响的端点 endpoint on POST submission 漏洞描述 CSRF漏洞允许攻击者在用户不知情的情况下提交恶意POST请求，从而修改用户的表单数据。 攻击者可以利用此漏洞更改受害者的用户名、电子邮件和密码。 证明概念 (POC) 1. 创建另一个账户和一个虚拟机实例来托管恶意内容。 2. 在VM上安装Apache并托管以下POC代码： 3. 访问该公共IP地址，表单应自动提交，更改用户的用户名、电子邮件和密码。 影响 攻击者可以成功更改受害者的账户凭据，如果受害者访问了恶意托管的网站。 如果攻击者控制了特权账户（如管理员），整个应用程序可能会被危及。 缓解措施 推荐在服务器端生成CSRF令牌，并通过用户的会话数据进行验证。 当接收到请求时，服务器应验证请求中包含的令牌与存储在用户会话中的令牌匹配。 此验证需要在所有HTTP方法或内容类型下执行，如果没有提供令牌，则应拒绝请求。 使用 库增强现有应用的CSRF保护，自动检查表单。 设置 选项为 ，并在其他表单中配置 或禁用默认配置。 参考资料 https://owasp.org/www-community/attacks/csrf https://symfony.com/doc/current/security/csrf.html 解决状态 已修复并发布新版本。