Unauthenticated Password Reset via User/forgot3.php Leading to Account Takeover

バグ概要 タイトル: 誰でも を通じて任意のユーザーのパスワードをリセットできる（セッション不要、トークン不要、メール検証なし） 概要: は、リクエスト元の所有するメールアドレスであることを検証せずに、 から直接データを取得して を実行します。 CVE-17（パスワードが平文で保存されている）と組み合わせることで、 、 、および の間で完全なアカウント乗っ取りチェーンが成立します。攻撃者は被害者のメールアドレスを選択し、パスワードを設定し、その後そのパスワードでログインできます。本ラボ環境では、 のパスワードを に変更し、正常にログインすることでこれを証明しました。 影響を受けるバージョン: コミット: バグの種別: 認証されていないパスワード変更 / 重要機能における認証の欠如 影響を受けるコード: ファイル: 根本原因: 本エンドポイントはパスワード回復フォーム ( ) として意図されていますが、それをそのフローに縛り付けるものが何もありません。共有トークンがなく、 のチェック ( ) はログイン済みユーザーのみをブロックするだけであり、メールアドレスへのフォールバックもないし、リクエストトークンも存在しません。 句は、提供されたあらゆるメールアドレスを信頼します。パスワードが平文で保存されている（CVE-17）ため、 文は完全なアカウント乗っ取りのプリミティブとなります。 再現手順: 1. 完全匿名のクライアントから のパスワードを にリセットします： 応答を観察します： 2. データベース内のパスワードを確認します： 以下のように表示されます： 3. 被害者になりすまして、攻撃者が選んだパスワードでログインします： 以下のように表示されます（セッションが設定され、 にリダイレクトされます）： 4. 管理者に対して同じ操作を試みます（ の場合、メールアドレス列が一致するため、アカウント乗っ取りは直接的です）。SQL は テーブルのみを対象とすることに注意してください： 影響: 認証されていない POST リクエスト1つで、登録済みユーザーの全アカウントが乗っ取られます。攻撃者は新しいパスワードを設定し、直ちにログインできます。これらのページはログイン済みユーザーの も受け入れるため（CVE-12）、このプリミティブをユーザーテーブル上、特にメールアドレスが管理者と一致する行に適用したり、CVE-14 の認証バイパスと組み合わせたりすることで、管理者レベルのアクセス権限も取得できます。「回復」プロセスは、同じメールアドレスを持つすべての行のパスワードもリセットします（アプリケーション層には一意制約がありません）。 CVSS 3.1 スコア: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — 9.8 (Critical) 影響範囲 全登録ユーザー、管理者アカウントを含む。 修正方法 パスワードリセットプロセスにセッション検証、トークン検証、メール検証を追加する。 パスワードを平文ではなく、暗号化された形式で保存する。 パスワードリセットリクエストに対して厳格な入力検証と例外処理を適用する。

目標達成すべての支援者に感謝 — 100%達成しました！

Unauthenticated Password Reset via User/forgot3.php Leading to Account Takeover

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Unauthenticated Password Reset via User/forgot3.php Leading to Account Takeover

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！