[KIS-2025-14] PKP-WAL <= 3.5.0-1 登录跨站请求伪造漏洞

来自： Egidio Romano <n0b0d13s () gmail com> 日期： 2025年12月23日 星期二 12:20:56 +0100

PKP-WAL <= 3.5.0-1 登录跨站请求伪造漏洞

[-] 软件链接：

https://pkp.sfu.ca https://github.com/pkp/pkp-lib

[-] 受影响版本：

版本 3.3.0-21 及更早版本。 版本 3.4.0-9 及更早版本。 版本 3.5.0-1 及更早版本。

[-] 漏洞描述：

开放期刊系统（OJS）、开放专著出版系统（OMP）和开放预印本系统（OPS）允许用户在不提供“csrfToken”参数的情况下执行登录操作，该参数虽然包含在客户端，但服务器端并未进行验证。因此，所有这些应用程序都可能受到“登录跨站请求伪造”攻击。

[-] 解决方案：

升级至版本 3.3.0-22、3.4.0-10、3.5.0-2 或更高版本。

[-] 披露时间线：

[2025年10月21日] - 通知供应商

[2025年11月12日] - 请求CVE标识符 [2025年11月20日] - 发布版本 3.3.0-22 [2025年11月22日] - 发布版本 3.4.0-10 [2025年12月12日] - CVE标识符分配完成 [2025年11月29日] - 发布版本 3.5.0-2 [2025年12月23日] - 发布本安全公告

[-] CVE 参考：

通用漏洞披露计划（cve.org）已为此漏洞分配了名称 CVE-2025-67892。

[-] 致谢：

漏洞由 Egidio Romano 发现。

[-] 原始安全公告：

http://karmainsecurity.com/KIS-2025-14

发送自 Full Disclosure 邮件列表 https://nmap.org/mailman/listinfo/fulldisclosure 网页存档与 RSS： https://seclists.org/fulldisclosure/