CVE-2025-65900 : Kalmia CMS v0.2.0 - vulnérable à un contrôle d'accès incorrect

Présentation de la vulnérabilité

Identifiant CVE : CVE-2025-65900
Produit : DifuseHQ Kalmia CMS
Version affectée : 0.2.0
Type de vulnérabilité : Contrôle d'accès incorrect
Privilèges requis : Faible (compte utilisateur en lecture seule)

Impact

Cette vulnérabilité permet à un utilisateur faiblement privilégié de récupérer des informations sensibles pour tous les comptes de la plateforme, y compris les hachages de mots de passe Blowfish. Les attaquants peuvent effectuer un cassage hors ligne, élever leurs privilèges et potentiellement compromettre des comptes administratifs, conduisant à une prise de contrôle totale du système.

Version corrigée

En attente d'approbation du mainteneur - https://github.com/DifuseHQ/Kalmia/pull/34

Description

DifuseHQ Kalmia CMS version 0.2.0 contient une vulnérabilité de contrôle d'accès incorrect dans le point de terminaison API /kal-api/auth/users. En raison d'une validation des permissions insuffisante et d'une exposition excessive des données dans le backend, un utilisateur authentifié disposant de permissions de lecture de base peut récupérer des informations sensibles pour tous les utilisateurs de la plateforme, y compris les hachages de mots de passe Blowfish. Cette faille permet la divulgation non autorisée de données d'identification et permet des attaques par force brute hors ligne, pouvant potentiellement mener à la compromission totale des comptes. Le problème provient de contrôles d'autorisation inappropriés dans middleware/auth.go et de données utilisateur non filtrées renvoyées par web/src/api/Requests.ts.

Détails techniques

Composants affectés

• Système d'authentification : /kal-api/auth/jwt/create
• API de gestion des utilisateurs : /kal-api/auth/users

Cause racine de la vulnérabilité

L'application ne parvient pas à nettoyer correctement les informations sensibles ni à bloquer l'accès aux points de terminaison sensibles. Les utilisateurs disposant d'un accès minimal en lecture seule peuvent :

1. Accéder aux points de terminaison administratifs
2. Extraire des données sensibles, y compris tous les hachages de mots de passe des utilisateurs

Processus d'exploitation

Étape 1 : Accès initial avec un utilisateur en lecture seule

Un attaquant commence avec un compte utilisateur légitime en lecture seule sur le système Kalmia CMS.

Étape 2 : Processus d'authentification

L'attaquant se connecte au système en utilisant ses identifiants en lecture seule via le mécanisme d'authentification standard.

Étape 3 : Accès au point de terminaison sensible

À l'aide d'outils comme Burp Suite, l'attaquant consulte la route API /kal-api/auth/users et visualise les informations d'accès de tous les utilisateurs.

Étape 4 : Cassage des hachages de mots de passe

Les hachages de mots de passe extraits sont ensuite traités à l'aide d'outils de cassage de mots de passe comme hashcat pour retrouver les mots de passe en clair.

Étape 5 : Compromission totale

Les mots de passe cassés avec succès fournissent un accès complet aux comptes utilisateur, y compris potentiellement aux comptes administratifs.

Preuve de concept (PoC)

Utilisation du script d'exploitation fourni

Le script cve-2025-65900.py automatise le processus d'exploitation :

python cve-2025-65900.py <TARGET_URL> -u <READ_ONLY_USERNAME> -p <READ_ONLY_PASSWORD>

Paramètres du script :

• url : URL de base de Kalmia CMS cible (requis)
• -u, --user : nom d'utilisateur en lecture seule (requis)
• -p, --password : mot de passe en lecture seule (requis)
• -t, --token-endpoint : point de terminaison du jeton JWT (par défaut : /kal-api/auth/jwt/create)
• -d, --dump : point de terminaison de dump des utilisateurs (par défaut : /kal-api/auth/users)
• -a, --auth : ignorer la génération du jeton et utiliser le jeton JWT fourni
• -o, --output : enregistrer les hachages extraits dans un fichier

Exemple d'utilisation :

# Exploitation de base
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass

# Enregistrer les hachages dans un fichier
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass -o hashes.txt

# Utiliser un jeton JWT existant
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass -a "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9..."

Déroulement du script :

1. Acquisition du jeton : S'authentifie avec les identifiants fournis et demande un jeton JWT
2. Point de terminaison sensible : Utilise le jeton pour accéder au point de terminaison sensible
3. Extraction des données : Récupère tous les identifiants utilisateur et les hachages de mots de passe
4. Sortie : Affiche les résultats et les enregistre éventuellement dans un fichier

Références

• Détails CVE : CVE-2025-65900
• CWE-863 : Autorisation incorrecte

Avertissement : Ces informations sont fournies à des fins éducatives et défensives uniquement. Les utilisateurs sont responsables de s'assurer qu'ils disposent d'une autorisation appropriée avant de tester tout système.