یک آسیب‌پذیری جدید از نوع Cross-Site Request Forgery (CSRF) با شناسه CVE-2026-97648 در سیستم مدیریت دانشجویان (Student Management System) توسعه داده شده توسط ningzichun شناسایی شده است. این نقص امنیتی در نسخه‌های تا commit شماره 98760f5711cf6dc8b4adca53a9e207ca49b02ebf وجود دارد.
جزئیات فنی و نحوه بهره‌برداری
این آسیب‌پذیری به یک عامل تهدید (Threat Actor) اجازه می‌دهد تا بدون نیاز به احراز هویت، درخواست‌های تغییر وضعیت (State-changing requests) را جعل کرده و آن‌ها را در مرورگر کاربر یا مدیر سیستم که دارای یک نشست (Session) فعال است، اجرا کند. برای موفقیت این حمله، قربانی باید از طریق مهندسی اجتماعی (Social Engineering) ترغیب شود تا روی یک لینک مخرب کلیک کند یا از صفحه‌ای که توسط مهاجم کنترل می‌شود بازدید نماید.
تاثیرات امنیتی
- یکپارچگی (Integrity): این حمله منجر به تغییرات محدودی در داده‌ها یا تنظیمات سیستم می‌شود.
- محرمانگی و در دسترس بودن (Confidentiality & Availability): طبق گزارش‌های فنی، این آسیب‌پذیری هیچ تاثیری بر محرمانگی داده‌ها یا در دسترس بودن سرویس ندارد.
- سطح دسترسی: مهاجم برای شروع حمله نیازی به دسترسی یا احراز هویت در سیستم هدف ندارد.
وضعیت فعلی
در حال حاضر اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است. با وجود اینکه گزارش‌های مربوط به این نقص امنیتی برای توسعه‌دهنده ارسال شده، اما هنوز پاسخی از سوی تیم توسعه دریافت نشده است.
