armaansidana2003/cve-2025-25616CVE-2025-25616에 대한 개념 증명 익스플로잇으로, Unifiedtransform v2.0에서 잘못된 접근 제어를 보여주며, 취약한 엔드포인트를 통해 학생들이 시험 규칙을 수정할 수 있게 합니다.
Unifiedtransform v2.0는 부적절한 접근 제어(Incorrect Access Control) 취약점이 존재하여, 학생이 시험 규칙을 수정할 수 있습니다. 영향을 받는 엔드포인트는 /exams/edit-rule?exam_rule_id=1입니다.
공급업체: Unifiedtransform
1단계: 학생으로 애플리케이션에 로그인합니다.
2단계: 다음 엔드포인트로 이동합니다.
/exams/edit-rule?exam_rule_id=1
(exam_rule_id 매개변수를 수정하여 다른 시험 규칙을 대상으로 지정할 수 있습니다.)
3단계: 시험 규칙을 변경하고 저장을 클릭합니다.
영향: 이로 인해 관리자만 접근할 수 있어야 하는 시험 규칙을 무단으로 수정할 수 있습니다. 학생이 최소 합격 점수 설정과 같은 시험 매개변수를 조작할 수 있어, 심각한 비즈니스 로직 결함을 초래하고 시험 시스템의 무결성을 훼손할 수 있습니다.
취약점 유형: 부적절한 접근 제어 (Incorrect Access Control)
공격 유형: 원격 (Remote)
영향: 권한 상승 (Escalation of Privileges)
공격 벡터: 손상된 접근 제어로 학생이 시험 규칙을 수정할 수 있습니다.
발견자: Armaan Sidana
참고 자료:
