abraxas/openmeetings-chat-user-idorApache OpenMeetings 9.1.0 - Élevée - Distante - IDOR - le tableau de bord chatTab-u{id} exporte les conversations privées d'un autre utilisateur
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-chat-user-idor
Classe : IDOR Portée : Distante
Apache OpenMeetings 9.1.0 (9773c59e). Toute session ROOM/DASHBOARD exporte la messagerie privée d'un autre utilisateur en définissant activeTab=chatTab-u{id}. La branche utilisateur de ChatToolbar est u -> true. Les boutons d'enregistrement/suppression ne sont visibles que par l'administrateur ; AjaxDownloadBehavior est enregistré sur la barre d'outils elle-même.
| ID | pas encore de CVE |
| Classe | IDOR |
| Portée | Distante (tableau de bord Wicket authentifié) |
| CWE | CWE-639 |
| CVSS | Élevé : 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
| Produit | Apache OpenMeetings 9.1.0 |
| Auth | LOGIN + DASHBOARD (inscription par défaut) |
| Licence | GNU Affero GPL v3.0 |
| Labo | 127.0.0.1:18151 uniquement |
| Méthode | Point de chute | Privilège |
|---|---|---|
Téléchargement de chat Wicket activeTab=chatTab-u{victimId} | Branche utilisateur de ChatToolbar u -> true (ChatToolbar.java:87-94, 134-138) | Reconnaissance (prouvé en labo) : CSV des messages privés. Labo : "Vic User",...,"OPENMEETINGS-CHAT-IDOR-WITNESS". |
Même activeTab suppression AjaxButton | chatDao.deleteUser(id) (ChatToolbar.java:208-212) | Intégrité (déduit) : effacer cette boîte de réception. L'export a servi d'oracle de SUCCÈS. |
Fermé : l'export global/de salle nécessite toujours un administrateur ou un modérateur de salle. Kick/mute-all ne relèvent pas de ce callback.
cd lab
./run.sh
Dernière ligne : SUCCESS OPENMEETINGS-CHAT-IDOR-WITNESS
Correctif suggéré : le téléchargement/suppression de la branche utilisateur doit être u.getId().equals(getUserId()) ou administrateur. Ne pas enregistrer AjaxDownloadBehavior pour les boutons d'administration masqués.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Fournisseur : [email protected]