CVE-2025-63712: SourceCodester产品过期管理系统CSRF漏洞导致任意用户删除

SourceCodester Product Expiry Management System的User Management模块存在跨站请求伪造(CSRF)漏洞。攻击者可以构造恶意网页，诱使已登录的管理员访问，从而在不知情的情况下执行删除用户账户的操作。该漏洞源于delete-user.php端点仅依赖会话cookie进行身份验证，缺少必要的CSRF token验证机制。攻击者利用此漏洞可删除系统中的任意用户账户，包括管理员账户，可能导致系统功能受损或完全失去控制。

该CSRF漏洞存在于delete-user.php文件中。漏洞的根本原因是该端点仅通过会话cookie验证用户身份，缺少CSRF token验证。当已登录用户访问攻击者构造的恶意页面时，浏览器会自动携带有效的会话cookie发送请求。攻击者通过在恶意页面中嵌入自动提交的表单或图片标签等元素，诱导用户浏览器向目标端点发送删除用户的请求。由于浏览器会自动附加有效的cookie，服务器会将其视为合法的已认证请求并执行删除操作。