CVE-2023-26984

Explication de la vulnérabilité :

Un problème dans la fonction de réinitialisation de mot de passe de Peppermint v0.2.4 permet aux attaquants d'accéder aux emails et mots de passe de la page Tickets via une requête conçue.

Vecteurs d'attaque :

L'attaquant devait se connecter avec le rôle utilisateur et réinitialiser le mot de passe. Ensuite, intercepter le trafic et modifier l'id pour le rôle admin ou un autre utilisateur. (Un attaquant peut voir l'email et le mot de passe de la page Tickets s'il crée un ticket.). Après cela, l'attaquant peut se connecter avec le nouveau mot de passe avec le compte admin.

Affecté :

• http://localhost:5001/settings

• http://localhost:5001/api/v1/users/resetpassword

• POST

  • /api/v1/users/resetpassword
  • {"password":"P@ssw0rd","id":1}

Testé sur :

1. peppermint version 0.2.4 (https://github.com/Peppermint-Lab/peppermint/tree/master)

Étapes de l'attaque :

1. Saisissez votre nom d'utilisateur et mot de passe ; le compte doit avoir des privilèges faibles.
2. Sélectionnez Voir le profil, sélectionnez Mot de passe et interceptez le trafic, remplissez le nouveau mot de passe.
3. Modifiez l'id en id admin et transmettez la requête.
4. Vous pouvez maintenant vous connecter avec le compte admin.

Découvreur :

:shipit: Thapanarath Khempetch

Calendrier de divulgation :

• 2023–02–25 : Vulnérabilité découverte.
• 2023–02–26 : Vulnérabilité signalée à la société MITRE.
• 2023–03–29 : Le CVE a été réservé.
• 2023–03–29 : Divulgation publique de la vulnérabilité.

Référence :

3. https://github.com/Peppermint-Lab/peppermint/tree/master

4. https://peppermint.sh/