GestSup <= 3.2.56 CSRF अनुमति देता है विशेषाधिकार प्राप्त क्रियाएं

यह CSRF भेद्यता हमलावरों को GestSup एप्लिकेशन में अनधिकृत क्रियाएं करने की अनुमति देती है। विशेष रूप से, एक हमलावर विशेषाधिकार प्राप्त खाते बनाने के लिए प्रशासनिक उपयोगकर्ता निर्माण एंडपॉइंट को लक्षित कर सकता है। इसका मतलब है कि एक हमलावर एप्लिकेशन पर पूर्ण नियंत्रण प्राप्त कर सकता है, संवेदनशील डेटा तक पहुंच सकता है, और सिस्टम के संचालन में हेरफेर कर सकता है। इस भेद्यता का शोषण करने के लिए, हमलावर को पहले पीड़ित उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइट पर क्लिक करने या दुर्भावनापूर्ण लिंक पर क्लिक करने के लिए बरगलाने की आवश्यकता होगी। एक बार जब उपयोगकर्ता लॉग इन हो जाता है, तो हमलावर पीड़ित की ओर से अनुरोधों को सबमिट कर सकता है।

Organizations utilizing GestSup for any purpose are at risk, particularly those with administrative interfaces accessible over the internet. Shared hosting environments where multiple users share the same GestSup instance are especially vulnerable, as an attacker could potentially compromise the entire hosting account.

• php / web:

curl -I 'http://your-gestsup-domain.com/admin/create_user.php' | grep 'Content-Security-Policy'

• generic web:

curl -I 'http://your-gestsup-domain.com/admin/create_user.php' | grep -i 'csrf-token'

1. 2026-01-09Disclosure

   disclosure

1. आरक्षित2026-01-06
2. प्रकाशित2026-01-09
3. संशोधित2026-03-05
4. EPSS अद्यतन2026-03-23

CVE-2026-22194 के लिए प्राथमिक शमन उपाय GestSup के नवीनतम संस्करण में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो CSRF टोकन लागू करने पर विचार करें। यह सुनिश्चित करें कि सभी महत्वपूर्ण क्रियाओं के लिए, जैसे कि उपयोगकर्ता निर्माण, एप्लिकेशन को अनुरोध की उत्पत्ति को सत्यापित करने के लिए एक अद्वितीय, अप्रत्याशित टोकन की आवश्यकता होती है। वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग CSRF हमलों का पता लगाने और उन्हें ब्लॉक करने के लिए भी किया जा सकता है। WAF नियमों को CSRF पैटर्न की पहचान करने के लिए कॉन्फ़िगर किया जाना चाहिए, जैसे कि असामान्य अनुरोध हेडर या पैरामीटर।