CVE-2025-3855 - RISE Ultimate Project Manager - IDOR

Vulnerabilidad de seguridad: IDOR (Referencia Directa Insegura a Objetos)
Componente afectado: endpoint de carga de imagen de perfil, controlador team_members
Software: RISE - Ultimate Project Manager & CRM
Vendor: codecanyon
Versión: 3.8.2

CVE ORG : https://www.cve.org/CVERecord?id=CVE-2025-3855
NIST: https://nvd.nist.gov/vuln/detail/CVE-2025-3855
CVE DETAILS: https://www.cvedetails.com/cve/CVE-2025-3855

Descripción del error/problema:

Se descubrió una vulnerabilidad en RISE - Ultimate Project Manager & CRM que permite a un usuario autenticado cambiar la foto de perfil de cualquier otro usuario explotando una Referencia Directa Insegura a Objetos (IDOR) en el endpoint /index.php/team_members/save_profile_image/[user_id]. La aplicación no valida correctamente si el usuario autenticado está autorizado para actualizar la imagen de perfil del ID de usuario especificado, permitiendo la modificación no autorizada de datos del usuario. Esta falla afecta la integridad de los datos y puede llevar a la suplantación de identidad o a la interrupción de la experiencia del usuario.

Para Reproducir:

🧑‍💼 1. Acceso autenticado a la configuración del perfil

Un usuario autenticado navega a la sección "Mi Perfil" de la aplicación, donde se le proporciona una opción para cargar o actualizar su imagen de perfil.

📤 2. Intercepción de la solicitud de carga

Al cargar una imagen de perfil, la solicitud puede ser interceptada utilizando una herramienta proxy como Burp Suite. La solicitud es un POST al siguiente endpoint:

POST /index.php/team_members/save_profile_image/36

Aquí, 36 corresponde al ID numérico del usuario autenticado.

🔁 3. Explotación del IDOR mediante manipulación del ID de usuario

Cambiando el ID en la ruta de la URL por el de otro usuario válido, por ejemplo:

POST /index.php/team_members/save_profile_image/44

La aplicación procesa la solicitud y actualiza la imagen de perfil del usuario ID 44, sin realizar ninguna comprobación de control de acceso.

🔐 4. Falta de validación de autorización

La implementación del lado del servidor no valida si el usuario autenticado está autorizado para realizar la acción sobre el ID de usuario objetivo. Como resultado, cualquier usuario autenticado puede cambiar las imágenes de perfil de otros usuarios, afectando la integridad de los datos del usuario y potencialmente llevando a la suplantación de identidad o confusión del usuario.