Cross-Site Request Forgery (CSRF) in Subsonic (CVE-2017-9413)
Summary
Vulnerability in Subsonic (CVE-2017-9413). Successful exploitation can lead to full system takeover.
Original description
The description as published by the source.
Multiple cross-site request forgery (CSRF) vulnerabilities in the Podcast feature in Subsonic 6.1.1 allow remote attackers to hijack the authentication of users for requests that (1) subscribe to a podcast via the add parameter to podcastReceiverAdmin.view or (2) update Internet Radio Settings via the urlRedirectCustomUrl parameter to networkSettings.view. NOTE: These vulnerabilities can be exploited to conduct server-side request forgery (SSRF) attacks.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Subsonic 6.1.1のPodcast機能には、CSRFの脆弱性が多く存在します。攻撃者は、ユーザーの認証を乗っ取り、ポッドキャストにサブスクライブさせたり、インターネットラジオの設定を更新したりすることが可能です。この脆弱性を利用してSSRF攻撃を仕掛けることもできます。
Subsonic 6.1.1のPodcast機能のCSRF脆弱性です。
Subsonic 6.1.1のPodcast機能。
CSRFを利用してユーザーの認証を乗っ取ることができるため、高度に危険です。SSRF攻撃も可能です。
サーバー側でCSRFトークンの検証を実装するか、ライブラリを使用してCSRF防御を追加してください。
ユーザーが信頼できるURLのみを指定するように教育し、入力の検証を厳密に行います。
ログを調査して不審なポッドキャストサブスクリプションやインターネットラジオ設定の変更を確認します。
References
- exploit packetstormsecurity.com
- exploit exploit-db.com