CVE-2026-32699 - Нарушенный контроль доступа через параметр Nick в EditUser в FacturaScripts

Описание

Краткое описание

Приложение не проверяет параметр nick при POST-запросе к контроллеру EditUser. Хотя интерфейс не позволяет редактировать это поле, пользователь может обойти это ограничение с помощью прокси и переименовать любую учётную запись (включая администратора). Это приводит к нарушению контроля доступа и потенциальному повреждению журнала аудита.

Подробности

Уязвимость существует в логике обновления пользователя. При отправке POST-запроса на /EditUser бэкенд обрабатывает параметр nick из form-data без проверки:

• Совпадает ли он с исходным значением
• Имеет ли пользователь право изменять уникальный идентификатор, предназначенный для неизменности

PoC

1. Войдите в панель управления под любым пользователем (например, администратором)
2. Перейдите в свой профиль, нажав на имя пользователя/аватар в правом верхнем углу
3. Откройте Burp Suite и убедитесь, что Intercept включён
4. Нажмите кнопку Сохранить в интерфейсе
5. В Burp Suite найдите nick в теле запроса:

6. Измените значение admin на Vulnerable (или любую другую строку)
7. Нажмите Forward в Burp Suite

Результат: Приложение выходит из учётной записи пользователя. Войдите снова, используя имя пользователя Vulnerable и исходный пароль.

Воздействие

Злоумышленник может эффективно саботировать журнал аудита системы, выполняя вредоносные действия, а затем переименовывая свою учётную запись, чтобы избежать обнаружения или подставить других пользователей. Такой сбой в подотчётности облегчает выдачу себя за другое лицо и создаёт риск повреждения данных, поскольку внутренние ссылки на исходное имя пользователя становятся осиротевшими, что подрывает целостность многопользовательской среды.

Результат

До

После