abraxas/joomla-articles-catidJoomla 6.1.3 - Высокий - Удалённый - ACL - POST /api/v1/content/articles игнорирует ACL для отдельных категорий
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · joomla-articles-catid
Разбор: https://abraxaslabs.tech/research/joomla-articles-catid
Класс: Остаточные привилегии Доступ: Удалённый
Joomla CMS 6.1.3 (0f2d4de) - Open Source Matters
Проверка ArticleController::allowAdd в административной части использует com_content.category.{catid}. В файле api/components/com_content/src/Controller/ArticlesController.php метод allowAdd отсутствует. Затем ApiController::add() вызывает allowAdd() без данных, поэтому JSON-поле catid никогда не попадает в проверку. Базовый allowAdd возвращает true, если пользователь может создавать материалы в любой категории.
Пользователь API класса Manager, которому выданы core.login.api и право создания в одной категории, может отправить POST-запрос с материалом в категорию, в которой ему отказано в интерфейсе.
| ID | CVE пока нет |
| Класс | Остаточные привилегии / обход авторизации |
| Доступ | Удалённый (API-токен с core.login.api) |
| CWE | CWE-863 |
| CVSS | Средний: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
| Продукт | Joomla CMS |
| Затронуто | 6.1.3 (0f2d4de4729eb951e0878fec98c7990da07915b2), POST /api/index.php/v1/content/articles |
| Аутентификация | API-токен для Manager (группа 6) с core.login.api, core.manage в com_content и core.create только в одной категории. Без Super User. По умолчанию core.login.api доступен только Super User. |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Использовать API-токен не-Super-User, которому разрешено создание в одной категории, чтобы публиковать материалы в категориях, где ему это запрещено. Из-за этой остаточной привилегии он не становится Super User. Это несанкционированная публикация, а не захват сайта и не чтение скрытых материалов.
| Привилегия | Метод / путь | Тип | Доказано в лаборатории или выведено |
|---|---|---|---|
| Создание статьи в категории, к которой доступ запрещён | POST /api/index.php/v1/content/articles JSON catid категории B | целостность | Доказано в лаборатории. HTTP 200, #__content id=1, catid=9 (Press), заголовок poc-art-JOOMLA-ARTICLES-CATID-WITNESS |
| Размещение опубликованной копии в Official notices / Press при разрешении только черновиков | Тот же POST, state=1 | целостность | Доказано в лаборатории создание в запрещённой Press. Выведено для любого другого ресурса категории с запрещённым core.create |
| Редактирование существующей статьи через API | PATCH /api/index.php/v1/content/articles/{id} | н/д | Выведено как закрыто для этого Manager. Базовый allowEdit требует core.edit компонента; правила com_content в лаборатории дают core.edit Author (4), а не Manager (6). В лаборатории PATCH не выполнялся |
| Удаление статьи через API | DELETE /api/index.php/v1/content/articles/{id} | н/д | Выведено как закрыто. Базовый allowDelete требует core.delete компонента. В лаборатории DELETE не выполнялся |
| Сохранение статьи в разрешённую категорию A из администратора | POST ... task=article.save jform[catid]=A | предполагаемое | Доказано в лаборатории открыто, как и задумано. HTTP 200, отказа нет |
| Сохранение статьи в запрещённую категорию B из администратора | Тот же task, jform[catid]=B | н/д | Доказано в лаборатории закрыто. HTTP 200 с "not permitted" / create-not-permitted (UI allowAdd на com_content.category.B) |
Обращение к API со стандартным Manager (без core.login.api) | Bearer token / X-Joomla-Token | н/д | Выведено как закрыто. По умолчанию core.login.api доступен только Super User (группа 8). В этой лаборатории он сначала выдан группе 6 |
| Та же брешь в contacts / banners / newsfeeds | POST /api/index.php/v1/contacts (и аналогичные) с чужим catid | целостность | Выведено. В этих API-контроллерах также отсутствует allowAdd. В лаборатории они не проверялись |
| RCE через Super User / installer | н/д | н/д | Закрыто. Manager остаётся Manager |
Я зафиксировал 6.1.3 после волны JSST 2026-07/08. Groups API уже требует core.admin. Media webservice уже требует core.edit для override. Articles API по-прежнему проходит через ApiController и считает "создание в любой категории" достаточным для любого catid.
public function add()
{
if (!$this->allowAdd()) {
throw new NotAllowed('JLIB_APPLICATION_ERROR_CREATE_RECORD_NOT_PERMITTED', 403);
}
$recordId = $this->save();
$this->displayItem($recordId);
}
Базовая проверка:
protected function allowAdd($data = [])
{
$user = $this->app->getIdentity();
if (!$user->authorise('core.manage', $this->option)) {
return false;
}
return $user->authorise('core.create', $this->option)
|| \count($user->getAuthorisedCategories($this->option, 'core.create'));
}
Administrator UI уже ориентируется на catid:
protected function allowAdd($data = [])
{
$categoryId = ArrayHelper::getValue(
$data,
'catid',
$this->input->getInt('filter_category_id'),
'int'
);
if ($categoryId) {
return $this->app->getIdentity()->authorise(
'core.create',
'com_content.category.' . $categoryId
);
}
return parent::allowAdd();
}
Уже зафиксированные ошибочные шаги: трактовка HTTP 200 от UI как разрешения (отказ для B — это тело «not permitted»); трактовка компонента core.create как дыры (в лабораторном Manager его нет; одного разрешения категории достаточно для подсчёта базового getAuthorisedCategories); стандартный Manager без core.login.api. Театральщина: reverse shell. Оракул — API 200 в Press плюс разрешение UI на Drafts плюс отказ UI на Press.
Остатки того же пина: levels API, menu items API, media override.
python3 joomla-articles-catid-Abraxas-Labs.py
или
cd lab
./run.sh
Цель — только http://127.0.0.1:19550. Образ joomla:6.1.3-php8.3-apache плюс mariadb:11.4.
SUCCESS joomla-articles-catid api-http=200 article-id=1 catid=9 cat-a=8 cat-b=9 ui-a=200 ui-b=200 JOOMLA-ARTICLES-CATID-WITNESS
article-id — это следующий автоинкремент #__content (1 при чистой установке 6.1.3). ui-a / ui-b возвращают HTTP 200; отказ для B — это тело ответа UI «not permitted», а не статус 403.