LFCMS 3.7.0存在CSRF漏洞可添加任意用户账户或任意管理员账户

### 漏洞简介

|漏洞名称|上报日期|漏洞发现者|产品首页|软件链接|版本|CVE编号|
——–|——–|———|——–|——-|—-|——|
|LFCMS 3.7.0存在CSRF漏洞可添加任意用户账户或任意管理员账户|2018-06-20|Bay0net|[http://www.lfdycms.com/](/static/baige/01-CMS漏洞/LFCMS/http://www.lfdycms.com/) | [http://www.lfdycms.com/](/static/baige/01-CMS漏洞/LFCMS/http://www.lfdycms.com/) |3.7.0| [CVE-2018-12602](/static/baige/01-CMS漏洞/LFCMS/http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-12602)|

#### 漏洞概述

> 攻击者可通过构造 CSRF 请求，来新增任意用户。

### POC实现代码如下：

> 通过CSRF增加任意用户 的exp代码如下：

“` html

“`
> 通过CSRF增加管理员用户 的exp代码如下：

“` html

“`