CVE-2025-63406 – セキュリティ研究の概念実証 (PoC)

このリポジトリには、GroupOffice プラットフォームに影響を与えるセキュリティ問題 CVE-2025-63406 に関する研究指向の概念実証 (PoC) が含まれています。
このプロジェクトの目的は、脆弱性の動作を研究・理解し、セキュリティチームのリスク評価を支援し、管理された環境でのパッチや軽減策の検証に役立てることです。

⚠️ 重要な注意事項
このPoCは、認可されたセキュリティ研究、監査、教育目的の分析のみを目的として提供されています。
明示的な許可なくシステムに対して使用してはなりません。

---

🔍 脆弱性について

CVE-2025-63406は、GroupOfficeオブジェクト（特に FieldSet、Field、Task エンティティ）の内部処理が特定の条件下で意図しない動作を引き起こす可能性がある状態を説明しています。

このプロジェクトの目的は以下の通りです。

• 脆弱性がどのように現れるかを分析する。
• create/update/destroy 操作を含む論理チェーンの動作を調査する。
• APIフローと内部状態遷移を実証する。
• 研究者が安全で隔離された環境で問題を再現・検証できるようにする。

提供されるソースコードは、ロジックフローに焦点を当てており、悪用を可能にするものではありません。

---

🧩 コード概要

PoCスクリプトは以下を示します。

• URLの正規化と入力サニタイズ。
• GroupOfficeのAPIを使用した認証フロー。
• セッションクッキーとCSRFトークンの取得と管理。
• FieldSet および Field オブジェクトの作成と削除。
• JMAP API（/api/jmap.php）とのやり取り。
• サーバー側の状態応答の抽出と検査。
• 以前に作成された研究アーティファクトの識別とクリーンアップ。

この構造は、実際の悪用ではなく、内部動作の分析と理解を目的としています。

---

🧪 研究目標