漏洞总结:AdminJSON 端点中的多个 CSRF 漏洞 漏洞概述 在 AVideo 平台(版本 <= 29.0)的管理端点中存在三个未受 CSRF 保护的 JSON 接口,攻击者可利用已登录的管理员会话执行未授权操作: 1. :创建或覆盖分类(通过修改 ID 实现覆盖) 2. :删除任意分类 3. :强制执行插件更新脚本(含 XSS 风险) 影响范围 完整性破坏:可静默创建/修改/删除分类数据,且无反馈机制 可用性破坏:可删除所有分类导致系统功能瘫痪 特权代码执行:通过插件更新脚本执行任意代码(5分钟窗口期) 攻击半径:仅需管理员访问恶意页面(钓鱼链接/论坛帖子等) 修复方案 为三个端点添加 CSRF 令牌验证(参考 的实现模式): POC 代码 1. 创建/覆盖分类 2. 删除分类 3. 强制插件更新