CVE-2026-102261

Ce projet contient un vérificateur non destructif permettant de confirmer qu'une instance autorisée de Camaleon CMS applique l'autorisation introduite dans la version 2.9.3.

Périmètre

Le problème affecte POST /admin/media/crop dans Camaleon CMS jusqu'à 2.9.2. Un utilisateur disposant de :manage, :media, mais sans :manage, :users, pouvait fournir l'ID d'un autre utilisateur dans saved_avatar et atteindre une écriture d'avatar en dehors de son objet autorisé. Le correctif exige :manage, :users pour toute cible autre que l'utilisateur lui-même.

Le vérificateur envoie un unique POST authentifié avec :

• un saved_avatar d'un compte jetable différent du compte authentifié ;
• un cp_img_path délibérément inexistant.

Dans la version corrigée, l'autorisation intervient avant tout traitement de fichier et l'application répond par une redirection (généralement 302). Dans une version ancienne, la requête n'est pas refusée à cette étape et le résultat est seulement INCONCLUSIVE : ce programme n'envoie aucune image, ne lit aucune donnée et ne tente de modifier aucun avatar.

Utilisation (laboratoire autorisé uniquement)

Créez deux comptes de test sur le même site :

1. un avec :manage, :media, mais sans :manage, :users ;
2. un autre compte jetable dont l'ID sera utilisé comme cible.

Obtenez le cookie de session du premier compte et exécutez :

go test ./...
go run . \
  --i-own-this-lab \
  --url http://127.0.0.1:3000 \
  --cookie '_session_id=COLOQUE_A_SESSAO_DE_TESTE_AQUI' \
  --nonself-user-id 42

PROTECTED signifie que le point de terminaison a refusé l'opération avant de traiter le chemin de l'image. INCONCLUSIVE demande une validation de la version installée et une mise à jour ; ce n'est pas une confirmation d'exploitation.

Correctif

Mettez à jour vers Camaleon CMS 2.9.3 ou ultérieur. Le patch est c143e145caa600947e70a240e87f2fed889149d3.

Références

• CVE-2026-102261 sur VulDB
• Release 2.9.3