🔍 CVE-2025-70899

6.5
CVSS Score
MEDIUM
2026-01-22
2026-01-23 17:16
✅ 완료

🇰🇷 한글 설명

PHPgurukul Online Course Registration v3.1에서 Cross-Site Request Forgery (CSRF) 보호가 부족하여 인증된 관리자를 대신해 권한 없는 동작을 수행할 수 있다.

💡 쉬운 설명

해커가 관리자를 속여 악의적인 웹페이지를 방문하게 함으로써 관리자의 권한으로 시스템에 접근할 수 있습니다. 이는 중요하지 않은 버그가 아니므로 조치가 필요합니다.

🇺🇸 원문 (English)

PHPgurukul Online Course Registration v3.1 lacks Cross-Site Request Forgery (CSRF) protection on all administrative forms. An attacker can perform unauthorized actions on behalf of authenticated administrators by tricking them into visiting a malicious webpage.

📍 영향받는 시스템

PHPgurukul Online Course Registration v3.1

⚔️ 공격 벡터

관리자에게 악의적인 링크를 클릭하게 하여 CSRF 공격을 수행

🛡️ 대응 방법

CSRF 토큰을 모든 관리자 폼에 추가하고, 사용자 세션을 검증하여 공격을 방지

🔧 검증 코드

로컬에서 PHPgurukul Online Course Registration이 실행 중인지 확인하고, python 명령어를 사용하여 CSRF 토큰의 존재 여부를 확인합니다. 결과는 'CSRF 토큰이 발견되지 않음' 또는 'CSRF 토큰이 발견됨'으로 출력됩니다.

Shell / Script 
python -c "import requests; r = requests.get('http://localhost/phpgurukul/'); print('CSRF 토큰이 발견되지 않음' if 'csrf_token' not in r.text else 'CSRF 토큰이 발견됨')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

💻 영향받는 소프트웨어

PHP