CVE-2026-25126: PolarLearn 投票数改ざん

研究: Joshua van Rijswijk

説明

CVE-2026-25126 の PoC。これは、PolarLearn フォーラム投票 API における深刻度の高いビジネスロジックの脆弱性です。

エンドポイント POST /api/v1/forum/vote は、direction フィールドの厳格な実行時検証を実施できていません。

TypeScript の型は実行時に強制されないため、攻撃者は任意の文字列を送信でき、それが後続処理で誤って処理されます。

これにより、いわゆる ゴーストダウンボート を作成して投票数を操作できます。

脆弱性

API は検証なしで JSON ボディを信頼します:

const body: VoteRequestBody = await request.json()
const { postId, direction } = body

const result = await VoteServer(postId, direction)

後続のロジックは、予期しない非 null 値をすべてダウンボートとして扱い、無効な値を永続化します。

無効な投票と null リセットを交互に送信することで、単一のユーザーが投票数を繰り返し減らすことができます。

PoC の使用方法

要件

• Node.js 18+ (ネイティブ fetch サポート)
• 有効な認証済みセッション Cookie
• テスト対象のフォーラム投稿 ID へのアクセス

手順

1. リポジトリをクローンする

git clone https://github.com/<your-username>/CVE-2026-25126-PoC.git
cd CVE-2026-25126-PoC

2. PoC を設定する

poc.js を開き、以下を置き換えます:

• POST_ID を対象のフォーラム投稿 ID に
• COOKIE を認証済みセッション Cookie に

3. PoC を実行する

node poc.js

4. 結果を確認する

各サイクル後、投票数が誤って減少するはずです。 フォーラムページを更新して、改ざんされたスコアを確認します。

修正

厳格な実行時検証を実装することで修正されました:

• 受け付ける値は "up"、"down"、または null のみ
• その他の値は HTTP 400 で拒否
• 予期しない保存済み投票に対する VoteServer の堅牢化

参考

• NVD - CVE-2026-25126
• GitHub Advisory - GHSA-ghpx-5w2p-p3qp