Podatności CamaleonCMS

CamaleonCMS w wersji 2.9.2 i wcześniejszych zawiera podatność braku autoryzacji w kontrolerze użytkowników administracyjnych, która umożliwia każdemu uwierzytelnionemu użytkownikowi dostęp do danych profilu dowolnego innego użytkownika poprzez podanie dowolnego identyfikatora użytkownika. Atakujący może wysłać żądanie GET do punktu końcowego profilu administracyjnego z sekwencyjnym identyfikatorem użytkownika, aby ujawnić informacje o profilu dowolnego użytkownika, w tym administratorów.

CamaleonCMS zawiera podatność na trwały atak XSS w pluginie cama_contact_form, która pozwala niskouprzywilejowanym, uwierzytelnionym atakującym na wstrzyknięcie dowolnego kodu HTML do pola before_html przez endpoint edycji formularza kontaktowego, który nie ma odpowiednich kontroli autoryzacji. Atakujący mogą zapisać złośliwe skrypty w bazie danych, które wykonują się w przeglądarkach ofiar podczas ładowania formularza kontaktowego, umożliwiając kradzież ciasteczek, fałszowanie uwierzytelnionych żądań do interfejsu administracyjnego i przejęcie sesji przeglądających użytkowników.

CamaleonCMS 2.9.1 zawiera uwierzytelnioną podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym atakującym z uprawnieniami do tworzenia lub edycji postów na przesłanie spreparowanej wartości slug zawierającej składnię SQL, którą backend bazy danych wykonuje jako część niewystarczająco sparametryzowanego zapytania. Atakujący mogą użyć technik ślepych wstrzyknięć SQL typu boolean lub union, aby wyodrębnić wrażliwe dane z bazowej bazy SQLite, w tym dane uwierzytelniające administratora i wartości konfiguracyjne przechowywane w tabelach aplikacji.

CamaleonCMS 2.9.1 zawiera podatność na wstrzykiwanie szablonów po stronie serwera, która pozwala uwierzytelnionym administratorom na wykonywanie dowolnych poleceń poprzez osadzenie tagów ERB w parametrze email akcji test_email w ustawieniach, które są oceniane, gdy odrzucenie SMTP odzwierciedla adres odbiorcy w komunikacie o błędzie renderowanym jako szablon ERB inline. Atakujący może przesłać spreparowany parametr email zawierający wyrażenia ERB przez endpoint test_email w ustawieniach administratora, powodując, że renderer szablonów inline Rails oceni kontrolowany przez atakującego kod Ruby i osiągnie wykonanie dowolnych poleceń jako użytkownik procesu Rails.

CamaleonCMS zawiera podatność na trwały atak XSS, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na wykonanie dowolnego JavaScriptu w przeglądarce administratora poprzez wstrzyknięcie niesanityzowanego kodu HTML do parametru tytułu posta podczas tworzenia szkicu. Atakujący mogą przesłać złośliwy kod HTML jako tytuł szkicu przez endpoint tworzenia szkiców, który jest zapisywany w bazie danych bez escapowania i później renderowany jako surowy HTML na liście szkiców administratora, umożliwiając przejęcie sesji administratora, kradzież ciasteczek i fałszowanie uwierzytelnionych żądań.

CamaleonCMS zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp i modyfikację ustawień pluginów poprzez dotarcie do czterech niechronionych endpointów administracyjnych pluginów bez wymaganej autoryzacji administratora. Atakujący mogą manipulować parametrami konfiguracyjnymi pluginów w czasie rzeczywistym w pluginach attack, front_cache, cama_meta_tag i cama_contact_form, aby zmienić zachowanie buforowanych stron, zmodyfikować publiczne meta tagi lub zmienić konfigurację formularzy kontaktowych, umożliwiając przejęcie konta w połączeniu z trwałym XSS przez pole before_html formularza kontaktowego.

CamaleonCMS w wersji 2.9.2 i wcześniejszych zawiera podatność na eskalację uprawnień poprzez niebezpieczne bezpośrednie odwołanie do obiektu (IDOR), która pozwala uwierzytelnionym atakującym o niskich uprawnieniach nadpisać dane uwierzytelniające dowolnego użytkownika, wykorzystując błąd zamieszania parametrów między filtrem autoryzacji a treścią akcji w UsersController. Atakujący mogą wysłać żądanie PATCH do punktu końcowego updated_ajax, ustawiając params[:id] na własny identyfikator użytkownika, aby przejść kontrolę autoryzacji, jednocześnie ustawiając params[:user_id] na identyfikator ofiary, co powoduje, że kontroler ładuje i modyfikuje konto ofiary, w tym nadpisuje hasła administratorów, co prowadzi do pełnego przejęcia strony.