CVE-2025-3855 - RISE Ultimate Project Manager - IDOR

Sicherheitslücke: IDOR (Insecure Direct Object Reference)
Betroffene Komponente: Profilbild-Upload-Endpunkt, team_members-Controller
Software: RISE - Ultimate Project Manager & CRM
Anbieter: codecanyon
Version: 3.8.2

CVE ORG : https://www.cve.org/CVERecord?id=CVE-2025-3855
NIST: https://nvd.nist.gov/vuln/detail/CVE-2025-3855
CVE DETAILS: https://www.cvedetails.com/cve/CVE-2025-3855

Beschreibung des Fehlers/Problems:

In RISE - Ultimate Project Manager & CRM wurde eine Sicherheitslücke entdeckt, die es einem authentifizierten Benutzer ermöglicht, das Profilbild eines beliebigen anderen Benutzers zu ändern, indem eine Unsichere Direkte Objektreferenz (IDOR) im Endpunkt /index.php/team_members/save_profile_image/[user_id] ausgenutzt wird. Die Anwendung überprüft nicht ausreichend, ob der authentifizierte Benutzer berechtigt ist, das Profilbild der angegebenen Benutzer-ID zu aktualisieren, was eine unbefugte Änderung von Benutzerdaten ermöglicht. Dieser Fehler beeinträchtigt die Datenintegrität und kann zu Identitätsdiebstahl oder Störungen der Benutzererfahrung führen.

Schritte zur Reproduktion:

🧑‍💼 1. Authentifizierter Zugriff auf die Profileinstellungen

Ein authentifizierter Benutzer navigiert zum Bereich „Mein Profil“ der Anwendung, wo ihm die Möglichkeit gegeben wird, ein Profilbild hochzuladen oder zu aktualisieren.

📤 2. Abfangen der Upload-Anfrage

Beim Hochladen eines Profilbildes kann die Anfrage mit einem Proxy-Tool wie Burp Suite abgefangen werden. Die Anfrage ist ein POST an den folgenden Endpunkt:

POST /index.php/team_members/save_profile_image/36

Hier entspricht 36 der numerischen ID des authentifizierten Benutzers.

🔁 3. Ausnutzung der IDOR durch Manipulation der Benutzer-ID

Durch Ändern der ID im URL-Pfad auf die eines anderen gültigen Benutzers, zum Beispiel:

POST /index.php/team_members/save_profile_image/44

Verarbeitet die Anwendung die Anfrage und aktualisiert das Profilbild des Benutzers mit der ID 44, ohne Zugriffskontrollen durchzuführen.

🔐 4. Fehlende Autorisierungsüberprüfung

Die serverseitige Implementierung überprüft nicht, ob der authentifizierte Benutzer berechtigt ist, die Aktion auf die anvisierte Benutzer-ID auszuführen. Daher kann jeder authentifizierte Benutzer die Profilbilder anderer Benutzer ändern, was die Integrität der Benutzerdaten beeinträchtigt und potenziell zu Identitätsdiebstahl oder Benutzerverwirrung führt.