CVE-2025-3855 - RISE Ultimate Project Manager - IDOR

セキュリティ脆弱性: IDOR（安全でない直接オブジェクト参照）
影響を受けるコンポーネント: プロフィール画像アップロードエンドポイント、team_members コントローラー
ソフトウェア: RISE - Ultimate Project Manager & CRM
ベンダー: codecanyon
バージョン: 3.8.2

CVE ORG : https://www.cve.org/CVERecord?id=CVE-2025-3855
NIST: https://nvd.nist.gov/vuln/detail/CVE-2025-3855
CVE DETAILS: https://www.cvedetails.com/cve/CVE-2025-3855

バグ/問題の説明:

RISE - Ultimate Project Manager & CRM において、認証されたユーザーが、/index.php/team_members/save_profile_image/[user_id] エンドポイントの安全でない直接オブジェクト参照（IDOR）を悪用することで、他の任意のユーザーのプロフィール画像を変更できる脆弱性が発見されました。このアプリケーションは、認証されたユーザーが指定されたユーザーIDのプロフィール画像を更新する権限を持っているかどうかを適切に検証しないため、ユーザーデータの不正な変更が可能です。この欠陥はデータの整合性に影響を与え、なりすましやユーザーエクスペリエンスの混乱を引き起こす可能性があります。

再現手順:

🧑‍💼 1. 認証されたプロフィール設定へのアクセス

認証されたユーザーは、アプリケーションの「マイプロフィール」セクションに移動し、プロフィール画像をアップロードまたは更新するオプションが提供されます。

📤 2. アップロードリクエストの傍受

プロフィール画像をアップロードすると、Burp Suite などのプロキシツールを使用してリクエストを傍受できます。リクエストは次のエンドポイントへの POST です。

POST /index.php/team_members/save_profile_image/36

ここで、36は認証されたユーザーの数値IDに対応します。

🔁 3. ユーザーIDの操作によるIDORの悪用

URLパス内のIDを別の有効なユーザーのものに変更すると、例えば:

POST /index.php/team_members/save_profile_image/44

アプリケーションはリクエストを処理し、アクセス制御チェックを行わずに、ユーザーID 44のプロフィール画像を更新します。

🔐 4. 認可検証の欠如

サーバーサイドの実装では、認証されたユーザーが対象のユーザーIDに対してアクションを実行する権限を持っているかどうかを検証できていません。その結果、認証された任意のユーザーが他のユーザーのプロフィール画像を変更でき、ユーザーデータの整合性に影響を与え、なりすましやユーザーの混乱を引き起こす可能性があります。