CVE-2025-13394

Nome do Software Vulnerável e Versões Afetadas Carbon console (versões afetadas não especificadas)

Descrição O processador Ajax falha ao proteger operações de alteração de estado contra Cross-Site Request Forgery (CSRF), um tipo de ataque que engana um usuário autenticado para executar ações não pretendidas. O problema ocorre porque o processador utiliza o método HTTP GET para essas operações. Embora o atributo de cookie SameSite=Lax seja utilizado, ele é contornado pois permite que cookies sejam enviados com solicitações de navegação de nível superior de origem cruzada. Um invasor pode explorar isso para realizar solicitações de alteração de estado não autorizadas, podendo levar à modificação de dados, alterações de conta ou perda de controle do usuário. Isso só é viável se o console e os serviços relacionados estiverem expostos à internet pública.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.