漏洞总结 漏洞概述 漏洞类型:CSRF(跨站请求伪造)漏洞 漏洞编号:#6013 影响组件:ChurchCRM CRM 系统的家庭记录删除功能 漏洞描述: 页面中的家庭删除操作未使用 CSRF 保护,攻击者可以通过构造恶意请求强制用户删除家庭记录。 影响范围 受影响端点: 的 DELETE 操作 受影响页面: 影响功能: - 家庭记录删除 - 家庭记录移动(捐赠转移) - 家庭成员删除 风险等级:高(可导致数据丢失) 修复方案 1. 移除服务端 GET/POST 处理器:从 中移除触发删除/移动的 GET/POST 处理器 2. 使用 API 调用:更新确认页面使用 Fetch API 进行删除操作 3. 添加 CSRF 保护: - 在 中添加 CSRF 中间件 - 在 中添加权限配置 4. 前端改造: - 使用 JavaScript 发起 API 请求 - 添加 CSRF token 验证 - 更新确认页面使用 API 调用 POC 代码