PoC: CVE-2025-2304 - Повышение привилегий в Camaleon CMS

Технический обзор

Этот репозиторий содержит функциональное доказательство концепции (PoC) для уязвимости Mass Assignment в Camaleon CMS (версии до 2.8.1). Уязвимость находится в конечной точке updated_ajax модуля управления пользователями, где приложение не выполняет строгую фильтрацию конфиденциальных атрибутов в хеше параметра password.

Внедряя атрибут role в область password при обновлении профиля, пользователь с низкими привилегиями может перезаписать свои собственные разрешения для получения статуса admin.

Механизм уязвимости

Уязвимость обусловлена неправильной конфигурацией Strong Parameters в контроллере Ruby on Rails. Когда приложение обрабатывает AJAX-запрос на обновление, оно неправильно позволяет ключу role быть объединенным с атрибутами объекта пользователя:

• Уязвимая конечная точка: /admin/users/:id/updated_ajax
• Уязвимая область параметра: password[...]
• Вектор внедрения: password[role]=admin

Технические особенности

• Постоянство сессии: Использует requests.Session для поддержания состояния на этапах аутентификации и эксплуатации.
• Автоматическая синхронизация CSRF: Извлекает authenticity_token из DOM и синхронизирует его с заголовком X-CSRF-Token, удовлетворяя требованиям безопасности AJAX в Rails.
• Динамическое обнаружение ID: Анализирует страницу /admin/profile/edit для динамического определения user[id], необходимого для RESTful-конечной точки.
• Эмуляция HTTP-метода: Реализует переопределение _method=patch для удовлетворения требований маршрутизации приложения при обновлении ресурсов через POST.

Требования

• Python 3.10+
• requests
• beautifulsoup4

Установка зависимостей:

pip install -r requirements.txt

Использование

python3 main.py -u <target_url> --user <username> --password <password>

Порядок выполнения эксплуатации

1. Аутентификация (POST /admin/login): Устанавливает аутентифицированную сессию, используя user[username].
2. Разведка (GET /admin/profile/edit): Извлекает уникальный user[id] и новый authenticity_token.
3. Повышение привилегий (PATCH через POST /admin/users/:id/updated_ajax): Отправляет инъекционную полезную нагрузку.

Спецификация полезной нагрузки

Эксплойт использует полезную нагрузку в формате application/x-www-form-urlencoded, структурированную следующим образом:

Этическое раскрытие

Этот инструмент предназначен только для образовательных целей и авторизованного тестирования на проникновение. Несанкционированный доступ к производственным системам незаконен.