إثبات المفهوم: CVE-2025-2304 - تصعيد الصلاحيات في Camaleon CMS

نظرة عامة تقنية

يحتوي هذا المستودع على إثبات مفهوم وظيفي (PoC) لثغرة الإسناد الجماعي في Camaleon CMS (الإصدارات الأقدم من 2.8.1). توجد الثغرة في نقطة النهاية updated_ajax لوحدة إدارة المستخدمين، حيث يفشل التطبيق في تصفية الخصائص الحساسة بشكل صارم داخل تجزئة (hash) المعامل password.

من خلال حقن خاصية role في نطاق password أثناء تحديث الملف الشخصي، يمكن لمستخدم منخفض الصلاحيات تجاوز صلاحياته الخاصة للحصول على حالة admin.

آلية الثغرة

تتجذر الثغرة في سوء تكوين المعلمات القوية (Strong Parameters) في وحدة التحكم Ruby on Rails. عندما يعالج التطبيق طلب التحديث AJAX، فإنه يسمح بشكل غير صحيح بدمج مفتاح role في خصائص كائن المستخدم:

• نقطة النهاية الضعيفة: /admin/users/:id/updated_ajax
• نطاق المعامل الضعيف: password[...]
• ناقل الحقن: password[role]=admin

الميزات التقنية

• استمرارية الجلسة: يستخدم requests.Session للحفاظ على الحالة عبر مراحل المصادقة والاستغلال.
• مزامنة CSRF الآلية: يستخلص authenticity_token من DOM ويزامنه مع رأس X-CSRF-Token، مما يلبي متطلبات أمان AJAX الخاصة بـ Rails.
• اكتشاف المعرف الديناميكي: يحلل صفحة /admin/profile/edit لحل user[id] المطلوب لنقطة النهاية RESTful بشكل ديناميكي.
• محاكاة طريقة HTTP: ينفذ تجاوز _method=patch لإرضاء متطلبات التوجيه للتطبيق لتحديثات الموارد عبر POST.

المتطلبات

• بايثون 3.10+
• requests
• beautifulsoup4

قم بتثبيت التبعيات:

pip install -r requirements.txt

الاستخدام

python3 main.py -u <target_url> --user <username> --password <password>

سير تنفيذ الاستغلال

1. المصادقة (POST /admin/login): ينشئ جلسة مصادقة باستخدام user[username].
2. الاستطلاع (GET /admin/profile/edit): يستخرج user[id] الفريد و authenticity_token جديد.
3. التصعيد (PATCH-over-POST /admin/users/:id/updated_ajax): يرسل حمولة الحقن.

مواصفات الحمولة

يستخدم الاستغلال حمولة application/x-www-form-urlencoded منظمة على النحو التالي:

الإفصاح الأخلاقي

هذه الأداة مخصصة للأغراض التعليمية واختبار الاختراق المصرح به فقط. الوصول غير المصرح به إلى أنظمة الإنتاج غير قانوني.