CVE-2025-1927CVE-2025-1927是Restajet Information Technologies Inc.开发的在线食品配送系统中存在的一个跨站请求伪造（Cross-Site Request Forgery，CSRF）安全漏洞。该漏洞允许攻击者通过诱导已登录用户访问恶意页面，在用户不知情的情况下以该用户的身份执行非预期的操作。由于该系统缺乏对关键操作的CSRF令牌验证，攻击者可以利用此漏洞进行各种恶意操作，包括但不限于修改用户账户信息、添加或删除食品订单、变更配送地址、修改菜单内容等。CVSS 3.1评分7.1分，属于高危漏洞，攻击复杂度低，无需特殊权限即可发起攻击，但需要用户交互。该漏洞影响截至19122025版本的所有在线食品配送系统版本。值得注意的是，漏洞发现者在早期就联系了厂商，但未收到任何回应。
该CSRF漏洞存在于Restajet在线食品配送系统的多个功能模块中，主要原因是系统未对敏感操作实施CSRF令牌验证机制。攻击者可以构造一个恶意HTML页面，包含自动提交的表单，该表单模仿系统的合法请求。当已登录用户访问该恶意页面时，浏览器会自动携带用户的会话Cookie向目标系统发送请求。由于系统仅验证用户是否已登录，而未验证请求的来源是否合法，因此攻击者的恶意请求将被成功执行。常见的攻击场景包括：修改管理员账户密码、添加新管理员账户、删除用户订单、修改菜品信息等。攻击者通常会使用社会工程学手段诱导用户点击恶意链接，或将恶意代码嵌入到第三方网站的广告或评论中。防御此类漏洞需要在所有状态变更请求中实施CSRF令牌（Token）验证机制。