abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-chat-user-idor
类别： IDOR 可达性： 远程
Apache OpenMeetings 9.1.0（9773c59e）。任何 ROOM/DASHBOARD 会话通过设置 activeTab=chatTab-u{id} 即可导出另一用户的私聊。ChatToolbar 的用户分支为 u -> true。保存/删除按钮仅管理员可见；AjaxDownloadBehavior 注册在工具栏本身上。
| ID | 暂无 CVE |
| 类别 | IDOR |
| 可达性 | 远程（已认证的 Wicket 仪表盘） |
| CWE | CWE-639 |
| CVSS | 高危：7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
| 产品 | Apache OpenMeetings 9.1.0 |
| 认证 | LOGIN + DASHBOARD（默认注册） |
| 许可证 | GNU Affero GPL v3.0 |
| 实验环境 | 仅 127.0.0.1:18151 |
| 方法 | 汇聚点 | 权限 |
|---|---|---|
Wicket 聊天下载 activeTab=chatTab-u{victimId} | ChatToolbar 用户分支 u -> true（ChatToolbar.java:87-94, 134-138） | 侦察（实验环境已验证）： 私信的 CSV。实验环境："Vic User",...,"OPENMEETINGS-CHAT-IDOR-WITNESS"。 |
相同 activeTab 删除 AjaxButton | chatDao.deleteUser(id)（ChatToolbar.java:208-212） | 完整性（推断）： 清空该收件箱。导出是 SUCCESS 判定依据。 |
已排除： 全局/房间导出仍需要管理员或房间主持人权限。踢出/全员禁言不属于此回调。
cd lab
./run.sh
最后一行：SUCCESS OPENMEETINGS-CHAT-IDOR-WITNESS
建议修复：用户分支的下载/删除必须为 u.getId().equals(getUserId()) 或管理员。不要为隐藏的管理员按钮注册 AjaxDownloadBehavior。
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]