CVE-2025-65094: WBCE CMS عرضة لتصعيد الامتيازات عبر التلاعب بمعرف المجموعة (IDOR)

نظرة عامة

المنتجات المتأثرة

• WBCE/WBCE_CMS

التفاصيل

الملخص

يمكن للمستخدم ذي الامتيازات المنخفضة في WBCE CMS تصعيد امتيازاته إلى مجموعة المسؤولين عن طريق التلاعب بالمعامل groups[] في طلب /admin/users/save.php.

تحد واجهة المستخدم من إمكانية تعيين المستخدمين لمجموعتهم الحالية فقط، لكن التحقق من جانب الخادم مفقود، مما يسمح للمهاجمين بالكتابة فوق عضوية مجموعتهم والحصول على صلاحيات إدارية كاملة.

يؤدي هذا إلى اختراق كامل لنظام CMS.

---

تأكيد الإصلاح من المنبع

قام القائمون على المشروع بإصلاح المشكلة في الالتزام التالي:

• الالتزام: 9604617
• العنوان: "تغييرات في إدارة المستخدمين"
• الرابط: https://github.com/WBCE/WBCE_CMS/commit/96046178f4c80cf16f7c224054dec7fdadddda7e

رسالة الالتزام ذات الصلة:

السماح فقط للمسؤولين بتعيين المستخدمين لأي مجموعة؛ يمكن للمستخدمين العاديين تعيين أنفسهم والمستخدمين الآخرين فقط للمجموعات التي هم أعضاء فيها بالفعل.

يعالج هذا بشكل مباشر مشكلة التحكم في الوصول غير الصحيح في تعيين المجموعة.

---

التفاصيل

يستخدم WBCE CMS أذونات المجموعة لتقييد الوصول إلى الميزات الإدارية.
تم إنشاء مجموعة مقيدة (Users) بالأذونات التالية:

يضمن هذا الإعداد أن المستخدمين ذوي الامتيازات المنخفضة:

• لا يمكنهم إنشاء أو تعديل مستخدمين آخرين (بخلاف تعديل ملفهم الشخصي)،
• لا يمكنهم إدارة المجموعات،
• لا يمكنهم تثبيت أو تعديل الوحدات،
• لا يمكنهم الوصول إلى أدوات الإدارة،
• لا يمكنهم تنفيذ إجراءات إدارية.

الإذن الإضافي الوحيد لديهم هو:

المستخدمين ← تعديل، المقصود منه فقط تعديل حسابهم الخاص.

---

السلوك القابل للاستغلال

عند تعديل ملفهم الشخصي عبر:

الوصول ← المستخدمين ← تعديل مستخدم

يفشل الخادم في التحقق من أن قيمة groups[] المرسلة تتوافق مع خيارات واجهة المستخدم المسموح بها.

يمكن للمهاجم اعتراض الطلب وتعديله:

groups[]=2 ← يغيره المهاجم إلى ← groups[]=1

يقوم هذا بتعيين المستخدم على الفور إلى مجموعة المسؤولين.

مسارات الكود المتأثرة

(كما تم تأكيده بواسطة الالتزام 9604617)

الملفات التالية تشارك في تعيين المجموعة ولكنها كانت تفتقر سابقًا إلى منطق التفويض المناسب:

• wbce/admin/users/index.php
• wbce/admin/users/users.php
• wbce/admin/users/save.php

يقدم الإصلاح التحقق من جانب الخادم الذي:

• يسمح للمسؤولين بتعيين أي مجموعة.
• يقيد المستخدمين العاديين بالمجموعات التي هم أعضاء فيها بالفعل.

يؤكد هذا وجود ثغرة تحكم غير صحيح في الوصول / IDOR في عملية تعيين المجموعة.

---

إثبات المفهوم (PoC)

1. إنشاء مجموعة مقيدة

قم بتكوين مجموعة باسم المستخدمون مع:

• المستخدمون ← تعديل (مُمكّن)
• جميع الأذونات الأخرى معطلة

---

2. إنشاء مستخدم ذي امتيازات منخفضة

---

3. تسجيل الدخول كمستخدم ذي امتيازات منخفضة

انتقل إلى:

الوصول ← المستخدمين ← تعديل مستخدم

اعترض الطلب الصادر باستخدام وسيط مثل Burp Suite.

---

4. تعديل معامل تعيين المجموعة

معامل الطلب الأصلي:
groups%5B%5D=2

معامل الطلب المعدل:
groups%5B%5D=1

تغيير المعامل إلى 1 يقوم بتعيين المستخدم إلى مجموعة المسؤولين.

---

5. إعادة توجيه الطلب

---

6. الحصول على الصلاحيات الإدارية

بعد إعادة المصادقة، يحصل المستخدم على وصول كامل إلى الأدوات والميزات الإدارية.

---

التأثير

هذه ثغرة تصعيد امتيازات تسمح لأي مستخدم مصادق ذي امتيازات منخفضة بما يلي:

1. التصعيد إلى مجموعة المسؤولين
2. الحصول على سيطرة كاملة على نظام CMS
3. تثبيت وحدات عشوائية
4. الوصول إلى جميع الأدوات الإدارية
5. الوصول المحتمل إلى تنفيذ كود عن بُعد عبر تحميل وحدة ضارة
6. تعديل أو حذف أي محتوى يديره نظام CMS

المراجع

• https://github.com/WBCE/WBCE_CMS/security/advisories/GHSA-hmmw-4ccm-fx44
• https://github.com/WBCE/WBCE_CMS/commit/96046178f4c80cf16f7c224054dec7fdadddda7e

إخلاء مسؤولية

تم الإفصاح عن هذه الثغرة بشكل مسؤول باتباع ممارسات الإفصاح المنسق عن الثغرات. المعلومات المقدمة هنا هي لأغراض تعليمية ودفاعية فقط.