CVE-2023-26984

漏洞说明：

Peppermint v0.2.4 的密码重置功能中存在一个问题，攻击者可以通过特制请求访问工单页面的电子邮件和密码。

攻击向量：

攻击者必须使用用户角色登录并重置密码。然后拦截流量，将 id 更改为管理员角色或其他用户。（如果攻击者创建工单，就可以看到工单页面的电子邮件和密码。）之后，攻击者可以使用管理员账户和新密码登录。

受影响：

• http://localhost:5001/settings

• http://localhost:5001/api/v1/users/resetpassword

• POST

  • /api/v1/users/resetpassword
  • {"password":"P@ssw0rd","id":1}

测试于：

1. peppermint 版本 0.2.4 (https://github.com/Peppermint-Lab/peppermint/tree/master)

攻击步骤：

1. 输入你的用户名和密码；该账户必须具有低权限。
2. 选择“查看个人资料”，选择“密码”并拦截流量，填写新密码。
3. 将 id 更改为管理员 id，并转发该请求。
4. 现在你可以使用管理员账户登录。

发现者：

:shipit: Thapanarath Khempetch

披露时间线：

• 2023–02–25：发现漏洞。
• 2023–02–26：向 MITRE 公司报告漏洞。
• 2023–03–29：CVE 已预留。
• 2023–03–29：公开披露漏洞。

参考：

3. https://github.com/Peppermint-Lab/peppermint/tree/master

4. https://peppermint.sh/