CVE-2018-25370

Admidio to otwarte rozwiązanie do zarządzania użytkownikami. W wersjach przed 5.0.9 występuje błąd logiczny w procesie resetowania uwierzytelniania dwuskładnikowego, który odwraca kontrolę autoryzacji, umożliwiając nieadministracyjnym użytkownikom usuwanie konfiguracji TOTP innych użytkowników, w tym administratorów.

Admidio w wersjach przed 5.0.17 zawiera podatność polegającą na nieprawidłowej kontroli dostępu, która pozwala uwierzytelnionym członkom rejestrować gości wydarzeń przez przesłanie pola additional_guests, gdy goście są niedozwoleni. Atakujący może ustawić additional_guests na liczbę pozostałych miejsc w pliku modules/events/events_function.php, aby wyczerpać pojemność wydarzenia i zablokować rejestrację innym członkom.

Admidio przed 5.0.16 zawiera błąd ujawnienia informacji, który pozwala nieuwierzytelnionym atakującym przeglądać linki internetowe ograniczone do ról, ponieważ plik rss/links.php pomija filtr widoczności ról category_view. Atakujący mogą zażądać kanału RSS z linkami dla organizacji, aby uzyskać nazwy linków, adresy URL, opisy, kategorie i nazwy twórców z zastrzeżonych kategorii LNK.

Admidio od 5.0.11 przed 5.0.16 zawiera błąd kontroli dostępu w pliku modules/inventory/inventory_data.php, który pozwala uwierzytelnionym użytkownikom obejść ograniczenie inventory_module_enabled. Atakujący z dowolnym ważnym loginem może zażądać kanału JSON DataTables, aby odczytać wszystkie pozycje inwentarza i nazwiska opiekunów, nawet gdy moduł jest wyłączony.

Admidio od 5.0.0 przed 5.0.16 zawiera błąd obejścia autoryzacji, który pozwala uwierzytelnionym użytkownikom eksportować listy mimo ograniczeń eksportu, poprzez żądanie mode=pdfl. Sprawdzenie groups_roles_export w pliku modules/groups-roles/lists_show.php pomija pdfl, co następnie uruchamia eksport PDF, pozwalając użytkownikom z prawem przeglądania list pobierać listy członków jako pliki PDF.

Admidio od 5.0.0 przed 5.0.16 zawiera błąd niebezpiecznego odwołania do obiektu (IDOR) w funkcji ForumService::saveTopic(), który pozwala uwierzytelnionym członkom modyfikować tematy forum innych użytkowników. Atakujący mogą zastąpić parametr topic_uuid w swoim żądaniu topic_save, ponownie używając swojego tokenu CSRF, aby nadpisać tytuł i pierwszy post tematu ofiary.

Admidio w wersjach od 4.3.2 do 4.3.17 oraz od 5.0.0 do 5.0.15 zawiera lukę złamanej kontroli dostępu, która pozwala administratorom ról przypisywać użytkowników do ról w innych organizacjach. Atakujący mogą wysyłać spreparowane żądania przypisania do members_assignment.php z obcym UUID roli, aby uzyskać uprzywilejowane członkostwo, zalogować się do tej organizacji i edytować jej profile użytkowników.

Admidio 5.0.0 przed 5.0.15 zawiera nieuwierzytelnioną podatność na trwały cross-site scripting w RegistrationPresenter.php, która wstawia surową wartość FIRST_NAME do niekodowanego atrybutu data-message. Atakujący mogą zarejestrować się z podwójnie cytowanym handlerem zdarzeń, który wykonuje JavaScript w sesji administratora po najechaniu na wpis na stronie zarządzania rejestracjami.

Admidio 4.0.12 do 4.3.17 oraz 5.0.0 przed 5.0.15 zawiera odbitą podatność cross-site scripting w system/redirect.php, która pozwala nieuwierzytelnionym atakującym wstrzykiwać JavaScript przez parametr GET url, z powodu niekompletnej poprawki dla CVE-2021-43810. Atakujący mogą stworzyć URL javascript: zawierający mylący segment http://, który przechodzi walidację i wykonuje skrypt w kontekście Admidio, gdy ofiary klikną link przekierowujący.

Admidio do wersji 5.0.11 włącznie ma podatność CSRF w modules/plugins.php, gdzie operacje instalacji, odinstalowania i aktualizacji wtyczek są wykonywane przez żądania GET bez walidacji tokena CSRF. Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego administratora wywołuje dowolne operacje na wtyczkach, w tym odinstalowanie, które wykonuje skrypty DROP TABLE i niszczy dane wtyczek.