CVE-2026-32699 - FacturaScripts EditUser Nick-Parameter: Fehlerhafte Zugriffskontrolle (Broken Access Control)

Beschreibung

Zusammenfassung

Die Anwendung validiert den Parameter nick bei einer POST-Anfrage an den EditUser-Controller nicht. Obwohl die Benutzeroberfläche das Bearbeiten dieses Feldes verhindert, kann ein Benutzer diese Einschränkung mithilfe eines Proxys umgehen, um jedes Konto (einschließlich des Administrators) umzubenennen. Dies führt zu Broken Access Control und potenzieller Korruption des Audit-Logs.

Details

Die Schwachstelle liegt in der Benutzeraktualisierungslogik. Wenn eine POST-Anfrage an /EditUser gesendet wird, verarbeitet das Backend den Formulardaten-Parameter nick ohne zu prüfen:

• Ob er mit dem ursprünglichen Wert übereinstimmt
• Ob der Benutzer das Recht hat, eine eindeutige Kennung zu ändern, die als unveränderlich vorgesehen ist

PoC

1. Melden Sie sich als beliebiger Benutzer im Dashboard an (z. B. als Admin-Benutzer)
2. Gehen Sie zu Ihrem Profil, indem Sie oben rechts auf Ihren Benutzernamen/Avatar klicken
3. Öffnen Sie Burp Suite und stellen Sie sicher, dass Intercept ON ist
4. Klicken Sie in der Benutzeroberfläche auf die Schaltfläche Speichern
5. Suchen Sie in Burp Suite nach nick im Body:

6. Ändern Sie den Wert admin in Vulnerable (oder eine beliebige andere Zeichenfolge)
7. Klicken Sie in Burp Suite auf Forward

Ergebnis: Die Anwendung meldet den Benutzer ab. Melden Sie sich erneut mit dem Benutzernamen Vulnerable und dem ursprünglichen Passwort an.

Auswirkungen

Ein Angreifer kann das Audit-Trail des Systems effektiv sabotieren, bösartige Aktionen ausführen und anschließend sein Konto umbenennen, um der Erkennung zu entgehen oder anderen Benutzern die Schuld zuzuschieben. Dieser Zusammenbruch der Rechenschaftspflicht ermöglicht Identitätswechsel und birgt das Risiko von Datenkorruption, da interne Verweise auf den ursprünglichen Benutzernamen verwaist werden, was die Gesamtintegrität der Mehrbenutzerumgebung untergräbt.

Ergebnis

Vorher

Nachher