漏洞概述 核心问题：AVideo平台的管理员插件配置端点 缺乏CSRF令牌验证，同时应用显式设置 ，导致攻击者可构造恶意页面，在管理员访问时跨域发送POST请求，覆盖任意插件设置。 --- 影响范围 具体利用场景： 支付劫持：修改PayPal收款邮箱或Stripe密钥，将付款重定向至攻击者账户 数据窃取：替换S3存储凭证，使上传媒体发送至攻击者控制的存储 认证绕过：修改LDAP/OAuth插件设置，指向攻击者控制的身份提供商 后门安装：启用并配置插件以建立持久化访问 --- 修复方案 在 第10行，管理员检查后立即添加CSRF令牌验证： --- POC代码 POC 1：劫持PayPal收款邮箱 POC 2：覆盖S3存储凭证 --- 漏洞根因代码 会话Cookie配置弱化保护 ( )： 保存端点缺乏令牌验证 ( )： 插件表被显式豁免安全检查 ( )：