CVE-2021-47754 描述了 Arunna 1.0.0 版本中存在的跨站请求伪造 (CSRF) 漏洞。该漏洞允许攻击者在用户不知情的情况下，通过伪造请求来修改用户个人资料设置，包括密码、电子邮件和管理员权限。受影响的版本为 1.0.0。目前，已发布补丁，建议尽快更新。
攻击者可以利用此 CSRF 漏洞，诱骗已认证的用户访问恶意构造的表单，从而未经用户许可修改其个人资料信息。这可能导致攻击者更改用户的密码，篡改电子邮件地址，甚至提升为管理员权限，从而完全控制受害者的账户。如果攻击者能够获取管理员账户，则可能对整个系统造成严重损害，例如窃取敏感数据、篡改系统配置或执行恶意代码。该漏洞的潜在影响范围取决于 Arunna 在系统中的角色和权限。
目前，该漏洞的公开利用情况尚不明确。根据 NVD 和 CISA 的信息，该漏洞于 2026-01-15 公开。由于该漏洞属于 CSRF 类型，且攻击难度较低，因此存在被恶意利用的风险。建议持续关注安全社区的动态，及时了解最新的威胁情报。
Organizations and individuals using Arunna version 1.0.0 are at direct risk. Specifically, environments where Arunna is deployed with default configurations or where user accounts have elevated privileges are particularly vulnerable. Shared hosting environments utilizing Arunna should be carefully monitored and secured.
• php / web:
curl -I <arunna_url>/profile.php | grep -i 'csrf-token'• generic web:
curl -I <arunna_url>/profile.php | grep -i 'set-cookie'• generic web:
grep -r 'profile.php' /var/log/apache2/access.log | grep -i 'csrf-token'disclosure
漏洞利用状态
EPSS
0.02% (6% 百分位)
CISA SSVC
CVSS 向量
为了减轻 CVE-2021-47754 的风险，首要措施是尽快升级到已修复的版本。如果无法立即升级，可以考虑实施以下临时缓解措施：在所有关键操作上添加 CSRF token 验证，确保所有请求都包含有效的 token。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以检测和阻止可疑的 CSRF 请求。建议审查 Arunna 的配置，确保其遵循安全最佳实践，例如禁用不必要的权限和功能。
升级到修复了 CSRF 漏洞的 Arunna 修正版本。审查并加强安全措施以防止 CSRF 攻击，例如在所有敏感表单和请求中实施 CSRF 令牌。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2021-47754 是 Arunna 1.0.0 版本中发现的跨站请求伪造 (CSRF) 漏洞，攻击者可以伪造请求来修改用户个人资料设置。
如果您正在使用 Arunna 1.0.0 版本，则可能受到此漏洞的影响。请尽快升级到已修复的版本。
建议尽快升级到已修复的版本。如果无法升级，请实施 CSRF token 验证和其他缓解措施。
目前，该漏洞的公开利用情况尚不明确，但存在被恶意利用的风险。
请查阅 Arunna 官方网站或安全公告，获取有关此漏洞的更多信息。