Email Subscribers & Newsletters <= 5.3.1 - Authenticated SQL Injection

The Email Subscribers & Newsletters WordPress plugin before 5.3.2 does not correctly escape the order and orderby parameters to the ajaxfetchreportlist action, making it vulnerable to blind SQL injection attacks by users with roles as low as Subscriber. Further, it does not have any CSRF protecti...

Ozette Plugins - Cross-Site Request Forgery

An attacker can update, create, and remove the site's mobile redirects via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. id: CVE-2023-23897 info: name: Ozette Plugins - Cross-Site Request Forgery author: popcorn94 severity: medi...

CVE-2021-29349

CVE-2021-29349 CVE-2021-29349 Mahara 20.10 のすべてのメッセージを削除する CSRF ペイロードとクレジット https://github.com/0xBaz...

cve-2019-9787_csrf_poc

CVE-2019-9787 CSRF PoC 概要 CVE-2019-9787 CSRF の PoC WordPress バージョン 5.0 参照 テスト目的以外では使用しないでください。 インストール root@kitploit: $ docker-compose up -d 1. http://localhost:8080/ にアクセスし、WordPress をインストールします。WP 管理者アカウントを作成するだけで構いません。 2. ビジターとして http://localhost:8080/?p=1comments にアクセスし、「csrf site:...

vertx-web-xsrf

개요 io.vertx.ext.web.handler.impl.CSRFHandlerImpl Vert.x Web의 CSRFHandlerImpl은 사용자 세션별로 고유한 CSRF 토큰을 생성하지 않습니다. 악의적인 웹사이트는 유효한 CSRF 토큰을 획득하여 HTML 폼에 추가한 후 취약한 웹 애플리케이션에 폼을 제출함으로써 CSRF를 여전히 수행할 수 있습니다. 현재, 사전 검증pre-flight CORS OPTIONS HTTP 요청이 XMLHTTPRequests를 통한 CSRF를 방지하지만, 사전 검증 요청을 우회할 수 있는 방법이...

inference-gateway-PoC

inference-gateway: セキュリティアドバイザリ...

halo-cors-csrf-CVE-2026-67921

CVE-2026-67921: Halo CMS CORS設定ミス + CSRF保護バイパス複合攻撃 概要 Halo CMS バージョン2.25.4以前には、2つのセキュリティ設定ミスにより深刻な複合攻撃の脆弱性が存在します: 1. CORS設定ミス : CORSポリシーが任意のオリジンをcredentials: trueとともに許可している 2. CSRF保護バイパス : すべてのAPIエンドポイント/api/、/apis/がCSRF保護から除外されている...

CVE-2025-70899

このリポジトリには、PHPgurukul Online Course Registration System におけるCSRF保護の欠如の脆弱性を示すProof of Conceptが含まれています。 📄 完全なPoCはこちらをご覧ください： MissingCSRFprotectionpoc.md...

CVE-2023-45857-Demo

axios の脆弱性 CVE-2023-45857 の動作を確認するデモ 1. dev container で起動する 2. app コンテナでnpm run devする 3. http://app.localhostへアクセスする 4. ブラウザの開発者ツールで Cookie にXSRF-TOKENがセットされていることを確認する 値がCREDENTIALTOKENとなっていること HttpOnly が false となっていること SameSite が Strict となっていること 5. ボタンを押す 6...

CVE-2020-23590

CVE-2020-23590 OPTILINK E-PON「モデル番号: OP-XT71000N」を搭載した「ハードウェアバージョン: V2.2」、および「ファームウェアバージョン: OPV3.3.1-191028」 脆弱性が発見されました: 「Optilink OP-XT71000N ハードウェアバージョン: V2.2、ファームウェアバージョン: OPV3.3.1-191028」において、認証されていないリモート攻撃者がクロスサイトリクエストフォージェリ（CSRF）攻撃を実行し、「wlwpa.asp」を介して「WLAN SSID」のパスワードを変更できる。 ターゲット /wlwpa.a...

CVE-2018-8718

エクスプロイトタイトル : Jenkins mailerプラグイン CSRF脆弱性 - CSRFメール送信 日付 : 2018/06/05 エクスプロイト作成者 : Yeom Geun Cheol ベンダーホームページ : https://jenkins.io/ ソフトウェアリンク : https://updates.jenkins.io/download/plugins/mailer/1.20/mailer.hpi バージョン : バージョン1.20未満 1.1 1.20 テスト環境 : Linux , Windows CVE : CVE–2018-8718...

CVE-2024-51435

bloodbank 血液銀行システム v 1.0 に見つかったシンプルなCSRF PoC...

CVE-2026-77568

...

Astra Linux – Vulnerability in Zabbix

A authenticated user can create a link containing reflected JavaScript code on it for the discovery page and send it to other users. The payload can only be executed with a known CSRF token value of the victim, which is changed periodically and is difficult to predict...

Astra Linux – Vulnerability in freeipa

There is a cross-site request forgery vulnerability in ipa/session/loginpassword in all supported versions of IPA. This flaw allows an attacker to trick the user into submitting a request that could perform actions on behalf of the user, resulting in a loss of confidentiality and system integrity...

Astra Linux – Vulnerability in Firefox

A security vulnerability in Thunderbird allowed malicious sites to use redirections to send credentialed requests to arbitrary endpoints on any site that had invoked the Storage Access API. This enabled potential Cross-Site Request Forgery attacks across origins. This vulnerability was fixed in...

Astra Linux – Vulnerability in etcd

A cross-site request forgery flaw was discovered in etcd 3.3.1 and earlier. An attacker can create a website that attempts to send a POST request to the etcd server and modify a key. Adding a key is done using a PUT operation, so it seems theoretically safe but PUT operations cannot be performed...

EUVD-2026-76198

Unauthenticated Cross Site Request Forgery CSRF in Site Kit by Google = 1.186.0 versions...

EUVD-2026-76204

Subscriber Cross Site Request Forgery CSRF in RTMKit = 2.1.5 versions...

CVE-2026-62133

WordPress plugin RTMKit (part of the Rometheme for Elementor plugin) contains a Cross-Site Request Forgery (CSRF) vulnerability in versions 2.1.5 and earlier . The vulnerability can be triggered by a user with Subscriber level privileges and was discovered by MYUNGYONG LEE . The CVSS 3.1 base sco...