説明

影響を受けるエンドポイント

1. GET /api/admin/badge-templates:
   • MongoDBの badgeTemplates コレクションに保存されているすべてのバッジテンプレートのJSON配列を返します。
   • 公開されるフィールドには、_id、name、description、icon、color、isActive、createdBy、createdAt、updatedAt、__v が含まれます。
   • 認証ヘッダー、APIキー、セッションチェックは不要で、エンドポイントは公開アクセス可能です。
   • サンプルレスポンス（cURL より）:

1. POST /api/admin/badge-templates/create:
   • ユーザー制御のフィールド（name、description、icon、color、isActive、createdBy）を使用して新しいバッジテンプレートを作成できます。
   • name、description、icon の存在チェックと、重複する name が存在しないことの確認という最小限の検証のみが行われます。
   • 認証や認可のチェックがないため、誰でもデータベースにデータを挿入できます。
   • サンプルコード（提供されたソースより）:
     root@kitploit:~

     const templateDoc = {
       name: name.trim(),
       description: description.trim(),
       icon: icon.trim(),
       color: color || '#8B5CF6',
       isActive: isActive !== undefined ? isActive : true,
       createdAt: new Date(),
       createdBy: createdBy || 'unknown'
     };
     const result = await db.collection('badgeTemplates').insertOne(templateDoc);
     

脆弱性

• CWE-200: 不正なアクターへの機密情報の漏洩（GETエンドポイント）: ユーザー識別子（例: Lagzen Thakuri、[email protected]）やメタデータを公開し、偵察やフィッシングを可能にします。
• CWE-306: 重要な機能に対する認証の欠如（両エンドポイント）: 管理ルートにアクセス制御がありません。
• CWE-284: 不適切なアクセス制御（両エンドポイント）: 不正なデータ取得と変更を許可します。
• 潜在的なNoSQLインジェクション: POSTエンドポイントはフィールドを明示的に分解していますが、GETエンドポイントがクエリパラメータ（例: ?name[$ne]=test）をサポートしている場合、脆弱になる可能性があります。
• ログ汚染リスク: POSTエンドポイントはユーザー制御の name と createdBy をログに記録するため、ログスパムやインジェクションに悪用される可能性があります。

CVSS v3.1 スコア

• 基本スコア: 9.1（Critical）
• ベクター: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
  • 攻撃元 (AV): ネットワーク（公開アクセス可能なエンドポイント）。
  • 攻撃の複雑さ (AC): 低（特別な条件は不要）。
  • 必要な権限 (PR): なし（認証不要）。
  • ユーザー操作 (UI): なし（直接HTTPリクエスト）。
  • 影響範囲 (S): 変更なし（アプリケーション自体に影響）。
  • 機密性 (C): 高（ユーザーデータを公開）。
  • 完全性 (I): 高（任意のデータ作成を許可）。
  • 可用性 (A): 低（大量のテンプレート作成によるDoSの可能性）。

影響を受けるシステム

• アプリケーション: Flagforge（https://flagforge.xyz）
• コンポーネント:
  • Next.js APIルート: /api/admin/badge-templates（GET）および /api/admin/badge-templates/create（POST）。
  • MongoDBデータベース: badgeTemplates コレクション。
• ホスティング: Vercel（サーバーレス、server: Vercel ヘッダーから推定）。
• バージョン: 不明（NextRequest/NextResponse 構文に基づき Next.js 13+ と推定）。
• 依存関係: MongoDBドライバー（カスタム @/utlis/db 接続ユーティリティ経由）、Next.js。

影響

• 機密性: ユーザー識別子（createdBy）とメタデータ（createdAt、updatedAt）の漏洩。ソーシャルエンジニアリングや標的型攻撃に利用される可能性があります。
• 完全性: バッジテンプレートの不正作成。アプリケーション内でのスパム、フィッシング、悪意のあるコンテンツ表示につながる可能性があります。
• 可用性: POSTエンドポイントへのテンプレート作成リクエストの大量送信によるサービス拒否（DoS）の可能性。データベースリソースを消費します。
• 悪用可能性: 高。エンドポイントは認証の壁なしに単純なHTTPリクエスト（例: cURL、Postman）で公開アクセス可能です。

概念実証

1. 機密データの取得（GET）:

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates
   

   • createdBy（例: [email protected]）などの機密フィールドを含む、すべてのバッジテンプレートのJSONリストを返します。

2. 不正なテンプレートの作成（POST）とテンプレートの削除（DELETE）:

   root@kitploit:~

   curl -X POST https://flagforge.xyz/api/admin/badge-templates/create \
     -H "Content-Type: application/json" \
     -d '{"name":"MaliciousBadge","description":"Hacked","icon":"evil.svg","createdBy":"attacker"}'
   

   • badgeTemplates コレクションに新しいテンプレートを作成します。
   • バッジテンプレートを削除します。
   • GETリクエストを再実行して、新しいテンプレートが表示されることを確認します。

3. 潜在的なNoSQLインジェクション（GET、クエリパラメータがサポートされている場合）:

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates?name[$regex]=.*
   

   • エンドポイントがMongoDB演算子を処理するかどうかをテストします。フィルターをバイパスしたり、追加データを公開したりする可能性があります。

推奨事項

即時修正

1. 認証の実装:
   • 両エンドポイントに対してユーザーIDを検証するミドルウェア（例: JWT、NextAuth.js、APIキー）を追加します。
     root@kitploit:~

     // POSTエンドポイント用のミドルウェア例
     export async function POST(request: NextRequest) {
       const authHeader = request.headers.get('authorization');
       if (!authHeader || !verifyToken(authHeader)) { // verifyToken を実装
         return NextResponse.json({ error: 'Unauthorized' }, { status: 401 });
       }
       // ... 既存のコード ...
     }
     

2. GETエンドポイントの制限:
   • GETエンドポイントを認証済み管理者のみに制限するか、最小限のデータ（例: createdBy を除外）を返すようにします。
   • クエリパラメータがサポートされている場合、NoSQLインジェクションを防ぐために入力をサニタイズします。

参考情報

• CWE-200: https://cwe.mitre.org/data/definitions/200.html
• CWE-306: https://cwe.mitre.org/data/definitions/306.html
• CWE-284: https://cwe.mitre.org/data/definitions/284.html
• OWASP API Security Top 10: https://owasp.org/www-project-api-security/
• CVSS v3.1 Calculator: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator