CVE-2026-34384Admidio是一个开源用户管理解决方案。在5.0.8版本之前，modules/registration.php中的create_user、assign_member和assign_user动作模式存在CSRF漏洞。这些动作通过GET请求批准待处理的用户注册，但未验证CSRF令牌。与同一文件中正确验证令牌的delete_user模式不同，这三个批准操作从$_GET读取参数并执行不可逆的状态更改。攻击者可以诱骗具有批准权限的用户访问恶意URL，从而绕过手动批准工作流自动批准注册。
该漏洞源于Admidio在处理用户注册审批逻辑时缺乏有效的CSRF防护机制。具体而言，受影响的代码位于modules/registration.php文件中，涉及create_user、assign_member和assign_user三种操作模式。这些模式直接通过GET请求读取参数来执行状态变更操作（即批准用户注册），而没有进行CSRF令牌验证。相比之下，同文件中的delete_user模式正确实施了令牌验证。攻击者首先提交一个待处理的注册账户，系统会发送一封包含用户UUID的确认邮件。攻击者可以从URL中提取该UUID。随后，攻击者构造一个特制的恶意URL（包含该UUID及相应的操作参数），并诱导拥有rol_approve_users权限的管理员或审批人员点击。一旦目标用户访问该URL，由于浏览器会自动携带认证Cookie，服务器将误以为是合法操作，从而批准攻击者的注册请求。这完全绕过了原有的手动审批流程。