CVE-2023-26984

شرح الثغرة:

مشكلة في وظيفة إعادة تعيين كلمة المرور في Peppermint v0.2.4 تسمح للمهاجمين بالوصول إلى رسائل البريد الإلكتروني وكلمات المرور الخاصة بصفحة التذاكر عبر طلب مخصص.

نواقل الهجوم:

يجب على المهاجم تسجيل الدخول بدور المستخدم وإعادة تعيين كلمة المرور. ثم اعتراض حركة المرور وتغيير المعرف إلى دور المسؤول أو مستخدم آخر. (يمكن للمهاجم رؤية البريد الإلكتروني وكلمة المرور لصفحة التذاكر إذا قام بإنشاء تذكرة). بعد ذلك، يمكن للمهاجم تسجيل الدخول بكلمة المرور الجديدة باستخدام حساب المسؤول.

المتأثر:

• http://localhost:5001/settings

• http://localhost:5001/api/v1/users/resetpassword

• POST

  • /api/v1/users/resetpassword
  • {"password":"P@ssw0rd","id":1}

تم الاختبار على:

1. peppermint الإصدار 0.2.4 (https://github.com/Peppermint-Lab/peppermint/tree/master)

خطوات الهجوم:

1. أدخل اسم المستخدم وكلمة المرور الخاصة بك؛ يجب أن يكون الحساب ذو صلاحيات منخفضة.
2. اختر عرض الملف الشخصي، واختر كلمة المرور ثم اعترض حركة المرور، واملأ كلمة المرور الجديدة.
3. غيّر المعرف إلى معرف المسؤول وأعد توجيه الطلب.
4. الآن يمكنك تسجيل الدخول بحساب المسؤول.

المكتشف:

:shipit: Thapanarath Khempetch

الجدول الزمني للإفصاح:

• 2023–02–25: تم اكتشاف الثغرة.
• 2023–02–26: تم الإبلاغ عن الثغرة لمؤسسة MITRE.
• 2023–03–29: تم حجز CVE.
• 2023–03–29: إفصاح عام عن الثغرة.

المرجع:

3. https://github.com/Peppermint-Lab/peppermint/tree/master

4. https://peppermint.sh/