CVE-2026-102261

このプロジェクトには、認可されたCamaleon CMSインスタンスがバージョン2.9.3で導入された認可を適用しているかどうかを確認するための非破壊的な検証ツールが含まれています。

スコープ

この問題は、Camaleon CMS 2.9.2以前のPOST /admin/media/cropに影響します。:manage, :mediaを持つが:manage, :usersを持たないユーザーが、saved_avatarに別のユーザーのIDを指定することで、自身の認可されたオブジェクト外へのアバター書き込みを達成できる可能性がありました。修正では、自身以外のユーザーをターゲットとする場合に:manage, :usersを要求します。

検証ツールは、以下の内容で単一の認証済みPOSTを送信します:

• 認証されたアカウントとは異なる使い捨てアカウントのsaved_avatar;
• 意図的に存在しないcp_img_path。

修正されたバージョンでは、認可はファイル処理の前に行われ、アプリケーションはリダイレクト(通常は302)で応答します。古いバージョンでは、この段階でリクエストは拒否されず、結果は単にINCONCLUSIVOとなります:このプログラムは画像を送信せず、データを読み取らず、いかなるアバターの変更も試みません。

使用方法(認可されたラボ環境のみ)

同じサイトに2つのテストアカウントを作成します:

1. :manage, :mediaを持つが:manage, :usersを持たないもの;
2. ターゲットとしてIDが使用される別の使い捨てアカウント。

最初のアカウントのセッションCookieを取得し、以下を実行します:

go test ./...
go run . \
  --i-own-this-lab \
  --url http://127.0.0.1:3000 \
  --cookie '_session_id=COLOQUE_A_SESSAO_DE_TESTE_AQUI' \
  --nonself-user-id 42

PROTECTEDは、エンドポイントが画像パスを処理する前に操作を拒否したことを意味します。INCONCLUSIVEは、インストールされているバージョンの検証と更新を促すものであり、悪用の確認ではありません。

修正

Camaleon CMS 2.9.3以降に更新してください。パッチはc143e145caa600947e70a240e87f2fed889149d3です。

参考資料

• VulDBのCVE-2026-102261
• リリース2.9.3