CVE-2025-65094: WBCE CMS ist anfällig für Privilegieneskalation durch Manipulation der Gruppen-ID (IDOR)

Überblick

Betroffene Produkte

• WBCE/WBCE_CMS

Details

Zusammenfassung

Ein Benutzer mit geringen Rechten in WBCE CMS kann seine Privilegien auf die Gruppe Administratoren eskalieren, indem er den Parameter groups[] in der Anfrage an /admin/users/save.php manipuliert.

Die Benutzeroberfläche beschränkt Benutzer darauf, nur ihre bestehende Gruppe zuzuweisen, aber die serverseitige Validierung fehlt, sodass Angreifer ihre Gruppenmitgliedschaft überschreiben und vollen administrativen Zugriff erhalten können.

Dies führt zu einer vollständigen Kompromittierung des CMS.

---

Bestätigung des Upstream-Fixes

Die Projektverantwortlichen haben das Problem im folgenden Commit behoben:

• Commit: 9604617
• Titel: "Änderungen in der Benutzerverwaltung"
• Link: https://github.com/WBCE/WBCE_CMS/commit/96046178f4c80cf16f7c224054dec7fdadddda7e

Relevante Commit-Nachricht:

Nur Administratoren dürfen Benutzer einer beliebigen Gruppe zuweisen; normale Benutzer dürfen sich selbst und andere Benutzer nur Gruppen zuweisen, denen sie bereits angehören.

Dies behebt direkt die fehlerhafte Zugriffskontrolle bei der Gruppenzuweisung.

---

Details

WBCE CMS verwendet Gruppenberechtigungen, um den Zugriff auf administrative Funktionen einzuschränken.
Eine eingeschränkte Gruppe (Users) wurde mit den folgenden Berechtigungen erstellt:

Diese Konfiguration stellt sicher, dass Benutzer mit geringen Rechten:

• keine anderen Benutzer erstellen oder bearbeiten können (außer der Änderung des eigenen Profils),
• keine Gruppen verwalten können,
• keine Module installieren oder ändern können,
• keinen Zugriff auf Admin-Tools haben,
• keine administrativen Aktionen ausführen können.

Ihre einzige erweiterte Berechtigung ist:

Benutzer → Ändern, die ausschließlich zum Bearbeiten des eigenen Kontos vorgesehen ist.

---

Anfälliges Verhalten

Beim Ändern des eigenen Profils über:

Zugriff → Benutzer → Benutzer ändern

validiert das Backend nicht, ob der übermittelte Wert groups[] den erlaubten UI-Optionen entspricht.

Ein Angreifer kann die Anfrage abfangen und ändern:

groups[]=2 → Angreifer ändert zu → groups[]=1

Dies weist den Benutzer sofort der Gruppe Administratoren zu.

Betroffene Codepfade

(wie durch Commit 9604617 bestätigt)

Die folgenden Dateien sind an der Gruppenzuweisung beteiligt, entbehrten jedoch zuvor einer ordnungsgemäßen Autorisierungslogik:

• wbce/admin/users/index.php
• wbce/admin/users/users.php
• wbce/admin/users/save.php

Der Fix führt eine serverseitige Validierung ein, die:

• Es Administratoren erlaubt, jede Gruppe zuzuweisen.
• Reguläre Benutzer auf Gruppen beschränkt, denen sie bereits angehören.

Dies bestätigt eine Schwachstelle durch fehlerhafte Zugriffskontrolle / IDOR im Gruppenzuweisungsprozess.

---

Proof of Concept (PoC)

1. Eine eingeschränkte Gruppe erstellen

Konfigurieren Sie eine Gruppe namens Users mit:

• Benutzer → Ändern (aktiviert)
• Alle anderen Berechtigungen deaktiviert

---

2. Einen Benutzer mit geringen Rechten erstellen

---

3. Als Benutzer mit geringen Rechten anmelden

Navigieren Sie zu:

Zugriff → Benutzer → Benutzer ändern

Fangen Sie die ausgehende Anfrage mit einem Proxy wie Burp Suite ab.

---

4. Den Parameter der Gruppenzuweisung ändern

Ursprünglicher Anforderungsparameter:
groups%5B%5D=2

Geänderter Anforderungsparameter:
groups%5B%5D=1

Das Ändern des Parameters auf 1 weist den Benutzer der Gruppe Administratoren zu.

---

5. Die Anfrage weiterleiten

---

6. Administratorzugriff erlangt

Nach erneuter Authentifizierung erhält der Benutzer vollen Zugriff auf administrative Werkzeuge und Funktionen.

---

Auswirkungen

Dies ist eine Schwachstelle zur Privilegieneskalation, die es jedem authentifizierten Benutzer mit geringen Rechten ermöglicht:

1. In die Gruppe Administratoren aufzusteigen
2. Volle Kontrolle über das CMS zu erlangen
3. Beliebige Module zu installieren
4. Auf alle administrativen Werkzeuge zuzugreifen
5. Potenziell Remote Code Execution durch das Hochladen bösartiger Module zu erreichen
6. Sämtliche vom CMS verwaltete Inhalte zu ändern oder zu löschen

Referenzen

• https://github.com/WBCE/WBCE_CMS/security/advisories/GHSA-hmmw-4ccm-fx44
• https://github.com/WBCE/WBCE_CMS/commit/96046178f4c80cf16f7c224054dec7fdadddda7e

Haftungsausschluss

Diese CVE wurde im Rahmen koordinierter Offenlegungspraktiken (Coordinated Vulnerability Disclosure) verantwortungsvoll gemeldet. Die hier bereitgestellten Informationen dienen ausschließlich Bildungs- und Verteidigungszwecken.