CVE-2026-40041Pachno 1.0.6版本中存在严重的跨站请求伪造（CSRF）安全漏洞。该问题的根本原因是系统在多个关键的状态更改端点上缺少必要的CSRF防护机制。攻击者能够利用这一缺陷，精心构造恶意HTTP请求，并诱骗已登录的用户在不知情的情况下执行这些请求。由于浏览器会自动携带用户的身份凭证，服务器会将这些请求视为合法操作。利用此漏洞，攻击者可以执行包括强制用户登出、创建新账户、修改用户角色权限、注入恶意评论以及上传任意文件在内的多种操作。这严重威胁了系统的完整性和用户数据的安全性。
该漏洞属于典型的客户端Web应用安全漏洞。Pachno 1.0.6在设计时未对涉及状态变更的敏感操作（如用户管理、权限修改、文件上传等）实施足够的防御措施，具体表现为未验证请求的来源合法性。在正常的CSRF防御流程中，服务器应向客户端发送一个不可预测的令牌，客户端在提交表单时必须回传该令牌以供验证。然而，在Pachno 1.0.6中，这一机制处于缺失状态。
攻击者利用这一缺陷，可以构建一个恶意网页，其中包含指向Pachno系统API或表单提交地址的隐藏表单或JavaScript代码。当受害者（即拥有Pachno系统权限的用户）被诱导访问该恶意页面时，浏览器会自动在后台向Pachno服务器发送HTTP请求。由于请求中包含了受害者浏览器的Cookie，服务器无法区分这是用户自愿发起的操作还是恶意诱导的操作，从而执行了相应的业务逻辑。
根据CVSS向量分析，该漏洞利用复杂度低（AC:L），无需用户交互（UI:N），意味着攻击者可以通过简单的邮件钓鱼或挂马链接发起攻击。一旦攻击成功，攻击者虽不能直接获取敏感信息（C:N），但可以破坏数据的完整性（I:L），例如创建管理员后门账户或上传Webshell，为进一步的渗透攻击奠定基础。