CVE-2026-4968SourceCodester Diary App 1.0版本被发现存在安全漏洞，该漏洞位于文件diary.php的未知功能中。由于应用程序缺乏对跨站请求伪造（CSRF）的充分防护，攻击者可以诱导受害者访问恶意构造的页面。在受害者保持登录状态的情况下，浏览器将自动发送带有身份凭证的请求，导致攻击者能够以受害者身份执行未授权的操作。该漏洞可被远程利用，且利用代码已公开披露，主要威胁应用的数据完整性。
该漏洞的核心原理在于服务器端未能验证关键请求的来源合法性。在HTTP协议中，浏览器会自动发送目标域的Cookie。攻击者利用这一机制，构建一个恶意的HTML页面，其中包含指向`diary.php`的表单提交或JavaScript请求。当受害者访问此恶意页面时，由于浏览器默认携带Cookie，服务器会误认为该请求是受害者本人发起的合法操作。由于CVSS向量显示UI:R（需要用户交互），攻击通常需要通过社会工程学手段诱导用户点击链接。成功利用后，攻击者可修改或删除应用中的数据（完整性影响），但通常无法直接读取敏感数据（机密性无影响）。