CVE-2025-65094：WBCE CMS 存在通过组 ID 操纵（IDOR）进行权限提升的漏洞

概述

受影响产品

• WBCE/WBCE_CMS

详细信息

摘要

WBCE CMS 中的低权限用户可以通过操纵 /admin/users/save.php 请求中的 groups[] 参数，将其权限提升至 Administrators 组。

UI 仅允许用户分配其当前所属的组，但缺少服务端验证，攻击者可以覆盖其组成员身份并获得完全的管理访问权限。

这会导致 CMS 被完全攻陷。

---

上游修复确认

项目维护者已在以下提交中修复了此问题：

• 提交： 9604617
• 标题： “用户管理中的更改”
• 链接： https://github.com/WBCE/WBCE_CMS/commit/96046178f4c80cf16f7c224054dec7fdadddda7e

相关提交信息：

仅允许管理员将用户分配到任何组；普通用户只能将自己和其他用户分配到其已所属的组。

这直接解决了组分配中访问控制不当的问题。

---

详细信息

WBCE CMS 使用组权限来限制对管理功能的访问。
创建了一个受限组（Users），其权限如下：

此设置确保低权限用户：

• 无法创建或编辑其他用户（只能修改自己的个人资料），
• 无法管理组，
• 无法安装或修改模块，
• 无法访问管理工具，
• 无法执行管理操作。

他们唯一的提升权限是：

用户 → 修改，仅用于编辑自己的账户。

---

漏洞行为

当通过以下路径修改自己的个人资料时：

访问 → 用户 → 修改用户

后端未能验证提交的 groups[] 值是否对应于 UI 允许的选项。

攻击者可以拦截并修改请求：

groups[]=2 → 攻击者改为 → groups[]=1

这会立即将用户分配到 Administrators 组。

受影响的代码路径

（由提交 9604617 确认）

以下文件参与组分配，但之前缺乏正确的授权逻辑：

• wbce/admin/users/index.php
• wbce/admin/users/users.php
• wbce/admin/users/save.php

该修复引入了服务端验证：

• 允许管理员分配任何组。
• 将普通用户限制在其已所属的组。

这确认了组分配过程中存在不当访问控制 / IDOR 漏洞。

---

概念验证（PoC）

1. 创建受限组

配置一个名为 Users 的组，其中：

• 用户 → 修改（启用）
• 所有其他权限禁用

---

2. 创建低权限用户

---

3. 以低权限用户身份登录

导航到：

访问 → 用户 → 修改用户

使用诸如 Burp Suite 之类的代理拦截传出请求。

---

4. 修改组分配参数

原始请求参数：
groups%5B%5D=2

修改后的请求参数：
groups%5B%5D=1

将参数改为 1 会将用户分配到 Administrators 组。

---

5. 转发请求

---

6. 获得管理访问权限

重新认证后，该用户将获得管理工具和功能的完全访问权限。

---

影响

这是一个权限提升漏洞，允许任何低权限的已认证用户：

1. 提升至 Administrators 组
2. 获得 CMS 的完全控制权
3. 安装任意模块
4. 访问所有管理工具
5. 通过恶意模块上传可能实现远程代码执行
6. 修改或删除 CMS 管理的任何内容

参考资料

• https://github.com/WBCE/WBCE_CMS/security/advisories/GHSA-hmmw-4ccm-fx44
• https://github.com/WBCE/WBCE_CMS/commit/96046178f4c80cf16f7c224054dec7fdadddda7e

免责声明

该 CVE 已按照协同漏洞披露规范进行负责任地披露。此处提供的信息仅用于教育和防御目的。