CVE-2025-31957 CVSS 2.6 低危

CVE-2025-31957 HCL BigFix SM跨站请求伪造漏洞

披露日期: 2026-05-06

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-31957

漏洞类型

跨站请求伪造 (CSRF)

CVSS评分

2.6 低危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

HCL BigFix Service Management

漏洞概述

HCL BigFix Service Management 存在跨站请求伪造（CSRF）漏洞。攻击者可诱导已认证用户访问恶意链接，利用用户身份执行未授权操作，可能导致敏感数据泄露或系统配置被恶意修改。

技术细节

该漏洞源于HCL BigFix Service Management未对关键业务请求实施严格的跨站请求伪造防护机制。攻击者可构造特制的HTML页面，其中包含针对目标系统的恶意HTTP请求。当具有低权限或更高权限的已登录用户访问该页面时，浏览器会利用用户的会话Cookie自动向服务器发送请求。由于服务器未能验证请求的来源合法性（如缺少CSRF Token或Referer校验），服务器将误认为这是用户的合法操作并执行，从而在用户不知情的情况下造成数据泄露或非授权更改。

攻击链分析

STEP 1

侦察

攻击者确认目标运行的是HCL BigFix Service Management，并存在CSRF漏洞的接口。

STEP 2

制作诱饵

攻击者构造包含恶意HTTP请求的HTML页面，该请求旨在修改数据或泄露信息。

STEP 3

投递攻击

通过社会工程学手段（如钓鱼邮件）诱导已登录用户访问恶意链接。

STEP 4

执行攻击

受害者浏览器自动发送请求，服务器执行未授权操作，完成攻击链。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- 
  Generic CSRF PoC for CVE-2025-31957
  Description: This script attempts to perform an unauthorized action on the target server.
-->
<html>
  <body>
    <script>history.pushState('', '', '/')</script>
    <form action="https://[TARGET-IP]/[VULNERABLE-ENDPOINT]" method="POST">
      <input type="hidden" name="param1" value="exploit_data" />
      <input type="hidden" name="param2" value="change_config" />
      <input type="submit" value="Submit Request" />
    </form>
    <script>
      document.forms[0].submit();
    </script>
  </body>
</html>

影响范围

HCL BigFix Service Management (具体版本信息请参考官方KB0128144)

防御指南

临时缓解措施

建议管理员立即查阅HCL官方公告KB0128144，评估受影响范围并尽快升级至修复版本。在未完成修复前，应加强对用户的安全意识教育，避免点击不明链接，并可在网关处限制对非必要接口的访问。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表