CVE-2025-12202CVE-2025-12202是一个影响ajayrandhawa User-Management-PHP-MYSQL web应用程序的跨站请求伪造（CSRF）漏洞。该漏洞存在于未知代码中，攻击者可以通过构造恶意请求诱骗已登录用户在不知情的情况下执行非预期的操作。由于该应用缺乏有效的CSRF令牌验证机制，攻击者可以利用社交工程手段，如钓鱼邮件、恶意链接等，诱导用户访问包含恶意请求的网页，从而在用户已认证的会话中执行未授权的操作。此漏洞CVSS评分为4.3，属于中危级别，攻击复杂度低，无需认证即可发起攻击，但需要用户交互。漏洞已被公开披露，可能已有在野利用。厂商在收到早期通知后未做出任何回应，目前尚无官方修复版本。
该CSRF漏洞源于User-Management-PHP-MYSQL应用程序在处理关键操作（如用户管理、密码修改、权限变更等）时未实施有效的CSRF防护机制。攻击者首先构建一个包含恶意表单的HTML页面，该表单会自动提交到目标应用程序的敏感端点。由于应用程序仅依赖会话Cookie进行身份验证，而不验证请求的来源合法性（如CSRF Token、Referer头等），因此攻击者可以在用户不知情的情况下以其身份执行操作。攻击者通常会将恶意页面托管在第三方服务器或通过社会工程手段诱导用户访问。攻击成功的前提条件是用户必须已经登录目标应用程序并保持会话有效。当用户访问恶意页面时，浏览器会自动携带有效的Cookie发送请求，应用程序将认为这是用户的合法操作而执行。攻击者可利用此漏洞进行账户劫持、敏感数据篡改、权限提升等恶意行为。