← Back
CVE-2017-9413
high
CVSS 8.8
Multiple cross-site request forgery (CSRF) vulnerabilities in the Podcast feature in Subsonic 6.1.1 allow remote attackers to hijack the authentication of users for requests that (1) subscribe to a po...
Summary
Multiple cross-site request forgery (CSRF) vulnerabilities in the Podcast feature in Subsonic 6.1.1 allow remote attackers to hijack the authentication of users for requests that (1) subscribe to a podcast via the add parameter to podcastReceiverAdmin.view or (2) update Internet Radio Settings via t...
AI summary openai / gpt-4o
Subsonic 6.1.1のPodcast機能には、CSRFの脆弱性が多く存在します。攻撃者は、ユーザーの認証を乗っ取り、ポッドキャストにサブスクライブさせたり、インターネットラジオの設定を更新したりすることが可能です。この脆弱性を利用してSSRF攻撃を仕掛けることもできます。
❓ What is the problem
Subsonic 6.1.1のPodcast機能のCSRF脆弱性です。
📍 Affected scope
Subsonic 6.1.1のPodcast機能。
🔥 Severity
CSRFを利用してユーザーの認証を乗っ取ることができるため、高度に危険です。SSRF攻撃も可能です。
🔧 How to fix
サーバー側でCSRFトークンの検証を実装するか、ライブラリを使用してCSRF防御を追加してください。
🛡️ Workaround
ユーザーが信頼できるURLのみを指定するように教育し、入力の検証を厳密に行います。
🔍 Detection
ログを調査して不審なポッドキャストサブスクリプションやインターネットラジオ設定の変更を確認します。