PoC: CVE-2025-2304 - Escalade de privilèges dans Camaleon CMS

Aperçu technique

Ce dépôt contient une preuve de concept fonctionnelle (PoC) pour une vulnérabilité d'assignation en masse dans Camaleon CMS (versions antérieures à 2.8.1). La vulnérabilité se situe dans le point d'accès updated_ajax du module de gestion des utilisateurs, où l'application ne filtre pas strictement les attributs sensibles dans le hachage du paramètre password.

En injectant un attribut role dans le champ password lors d'une mise à jour de profil, un utilisateur à faibles privilèges peut écraser ses propres permissions pour obtenir le statut admin.

Mécanisme de la vulnérabilité

La vulnérabilité provient d'une mauvaise configuration des paramètres forts dans le contrôleur Ruby on Rails. Lorsque l'application traite la requête de mise à jour AJAX, elle autorise incorrectement la clé role à être fusionnée dans les attributs de l'objet utilisateur :

• Point d'accès vulnérable : /admin/users/:id/updated_ajax
• Portée du paramètre vulnérable : password[...]
• Vecteur d'injection : password[role]=admin

Fonctionnalités techniques

• Persistance de session : Utilise requests.Session pour maintenir l'état entre les phases d'authentification et d'exploitation.
• Synchronisation CSRF automatisée : Extrait le authenticity_token du DOM et le synchronise avec l'en-tête X-CSRF-Token, satisfaisant aux exigences de sécurité AJAX de Rails.
• Découverte dynamique d'ID : Analyse la page /admin/profile/edit pour résoudre dynamiquement le user[id] nécessaire au point d'accès RESTful.
• Émulation de méthode HTTP : Implémente la substitution _method=patch pour satisfaire les exigences de routage de l'application pour les mises à jour de ressources via POST.

Prérequis

• Python 3.10+
• requests
• beautifulsoup4

Installer les dépendances :

pip install -r requirements.txt

Utilisation

python3 main.py -u <target_url> --user <username> --password <password>

Déroulement de l'exécution de l'exploit

1. Authentification (POST /admin/login) : Établit une session authentifiée en utilisant user[username].
2. Reconnaissance (GET /admin/profile/edit) : Extrait le user[id] unique et un nouveau authenticity_token.
3. Escalade (PATCH via POST /admin/users/:id/updated_ajax) : Envoie la charge utile d'injection.

Spécification de la charge utile

L'exploit utilise une charge utile de type application/x-www-form-urlencoded structurée comme suit :

Divulgation éthique

Cet outil est destiné uniquement à des fins éducatives et à des tests de pénétration autorisés. L'accès non autorisé aux systèmes de production est illégal.