CVE-2024-27632

CVE-2024-27632 漏洞详情 概述 在 Savane v3.12 及更早版本中，Unix 时间戳被用作伪随机数生成器 PRNG 的种子，该生成器用于生成跨站请求伪造 CSRF 保护令牌 formid。因此，攻击者可能能够独立生成与被攻击用户分配的相同有效 CSRF 令牌，从而通过 CSRF 检查并导致成功的 CSRF 攻击。CSRF 攻击的影响包括权限提升和帐户接管。 CWE 分类： CWE-335：伪随机数生成器 PRNG 中种子的错误使用 报告者： Ally Petitt 受影响产品 ：Savane 受影响版本 ：3.12 及更早版本 技术细节 在生成 formid...