关键信息总结 漏洞描述 漏洞类型: CSRF (Cross-Site Request Forgery) 受影响产品: Pet Grooming Management Software 1.0 漏洞发现者: Camilla Flocco 产品供应商: SourceCodester 利用条件 用户必须在浏览器中通过Pet Grooming管理后台登录（活动的会话cookie） 用户必须访问攻击者控制的网页（或触发请求）同时保持登录状态 目标端点接受未认证的POST请求，进行密码变更无额外确认 应用未验证 或 头部信息对于状态变更的请求，session Cookie由浏览器自动发送 利用步骤 1. 使用默认凭证登录应用 - Email: mdkhaimar92@gmail.com - Password: admin 2. 访问管理后台界面 3. 创建一个发送密码更改请求的恶意HTML文件 - 示例：使用一个按钮触发请求，也可以使用空白页进行自动化 4. 在登录状态下打开恶意HTML页面 5. 密码已被更改 6. 检查数据库确认密码已被更改且未经授权 7. 使用新密码尝试登录 8. 登录成功 受影响组件 管理员变更密码表单 路径 密码更新功能 服务器端会话处理 攻击类型 远程 影响 代码执行: 受影响 权限提升: 受影响 信息泄露: 受影响 攻击向量 攻击者可以创建一个恶意HTML页面，当已认证用户访问时自动提交密码变更请求，利用用户session信息变更管理员密码，且用户未授权 参考 SourceCodester - Pet Grooming Management Software