PoC: CVE-2025-2304 - Camaleon CMS Privilege-Eskalation

Technischer Überblick

Dieses Repository enthält einen funktionalen Proof of Concept (PoC) für eine Mass Assignment-Sicherheitslücke in Camaleon CMS (Versionen vor 2.8.1). Die Schwachstelle befindet sich im updated_ajax-Endpunkt des Benutzerverwaltungsmoduls, bei dem die Anwendung versäumt, sensible Attribute im password-Parameter-Hash strikt zu filtern.

Durch das Injizieren eines role-Attributs in den password-Bereich während einer Profilaktualisierung kann ein Benutzer mit geringen Rechten seine eigenen Berechtigungen überschreiben und einen admin-Status erlangen.

Mechanismus der Schwachstelle

Die Schwachstelle beruht auf einer Fehlkonfiguration der Strong Parameters im Ruby on Rails-Controller. Wenn die Anwendung die AJAX-Aktualisierungsanfrage verarbeitet, erlaubt sie fälschlicherweise, dass der role-Schlüssel in die Attribute des Benutzerobjekts eingefügt wird:

• Angreifbarer Endpunkt: /admin/users/:id/updated_ajax
• Angreifbarer Parameter-Bereich: password[...]
• Injektionsvektor: password[role]=admin

Technische Merkmale

• Sitzungspersistenz: Nutzt requests.Session, um den Zustand über die Authentifizierungs- und Ausnutzungsphasen hinweg zu erhalten.
• Automatisierte CSRF-Synchronisation: Extrahiert das authenticity_token aus dem DOM und synchronisiert es mit dem X-CSRF-Token-Header, um die AJAX-Sicherheitsanforderungen von Rails zu erfüllen.
• Dynamische ID-Ermittlung: Analysiert die Seite /admin/profile/edit, um dynamisch die user[id] aufzulösen, die für den RESTful-Endpunkt erforderlich ist.
• HTTP-Methoden-Emulation: Implementiert den _method=patch-Override, um die Routing-Anforderungen der Anwendung für Ressourcenaktualisierungen über POST zu erfüllen.

Anforderungen

• Python 3.10+
• requests
• beautifulsoup4

Abhängigkeiten installieren:

pip install -r requirements.txt

Verwendung

python3 main.py -u <target_url> --user <username> --password <password>

Ausführungsablauf des Exploits

1. Auth (POST /admin/login): Stellt eine authentifizierte Sitzung unter Verwendung von user[username] her.
2. Recon (GET /admin/profile/edit): Extrahiert die eindeutige user[id] und ein neues authenticity_token.
3. Eskalation (PATCH-over-POST /admin/users/:id/updated_ajax): Sendet die Injektionsnutzlast.

Payload-Spezifikation

Der Exploit verwendet eine application/x-www-form-urlencoded-Nutzlast, die wie folgt strukturiert ist:

Ethische Offenlegung

Dieses Tool dient ausschließlich zu Bildungszwecken und autorisierten Penetrationstests. Unautorisierter Zugriff auf Produktionssysteme ist illegal.