CVE-2025-59110CVE-2025-59110是Windu CMS 4.1版本中的一个中等严重性跨站请求伪造（CSRF）漏洞。Windu CMS是一款开源的内容管理系统，该漏洞存在于用户编辑功能中。攻击者可以利用此漏洞通过诱导已登录用户访问恶意页面，利用其他用户的CSRF token绕过现有的CSRF保护机制，从而在用户不知情的情况下以该用户的权限执行操作。值得注意的是，Windu CMS的注册功能是开放的，任何人都可以免费创建账户，这降低了攻击者获取合法用户账户的难度。该漏洞的CVSS评分为6.5，主要影响系统的完整性保护。漏洞已在4.1 build 2250版本中修复。建议使用Windu CMS 4.1的用户尽快升级到最新版本以消除安全风险。
Windu CMS 4.1在用户编辑功能中实现了CSRF保护机制，但该机制存在设计缺陷。攻击者可以通过以下方式绕过保护：1) 首先注册一个恶意账户获取有效的CSRF token；2) 利用该token构造针对目标用户的CSRF攻击。由于系统允许公开注册，攻击者可以轻松获取合法token。攻击者构造包含恶意请求的HTML页面，诱骗已登录的管理员或用户访问。当受害者访问该页面时，浏览器会自动携带其Cookie发送请求到目标服务器，由于请求看起来来自合法用户，系统会执行攻击者预设的操作。攻击者可能利用此漏洞修改用户信息、权限设置或其他敏感配置。漏洞的根本原因在于CSRF token验证逻辑存在可预测性或可复用性问题，攻击者能够使用他人的token通过验证。