Lỗ hổng bypass ủy quyền bằng khóa do người dùng kiểm soát trong Cozmoslabs User Profile Picture

Lỗ hổng Bypass ủy quyền thông qua khóa do người dùng kiểm soát trong Cozmoslabs User Profile Picture metronet-profile-picture cho phép khai thác các mức bảo mật kiểm soát truy cập được cấu hình không chính xác.Vấn đề này ảnh hưởng đến User Profile Picture: từ n/a đến <= 2.6.3.

• Cozmoslabs User Profile Picture, package metronet-profile-picture: version entry bắt đầu từ 0, bị ảnh hưởng đến và bao gồm 2.6.3, với versionType là custom.
• Bản ghi affected đánh dấu default_status là unaffected ngoài phạm vi bị nêu.
• Thay đổi trạng thái xác định 2.6.4 là unaffected. Không nên suy diễn trạng thái của các nhánh song song hoặc các bản phát hành khác nếu chưa có bằng chứng riêng.

Lỗ hổng thuộc CWE-639, Authorization Bypass Through User-Controlled Key, và được Patchstack mô tả là dạng Insecure Direct Object Reference (IDOR). Thành phần bị ảnh hưởng là package metronet-profile-picture. Về bản chất, attacker có thể cung cấp hoặc thay đổi khóa dùng để xác định một object hoặc resource, trong khi lớp kiểm tra authorization không xác minh đầy đủ quyền trên object đó. Đây là mô tả theo lớp lỗi CWE và IDOR; bằng chứng hiện có không cho biết tên key, route hoặc request cụ thể, loại object bị tác động hay code path thực hiện kiểm tra. Đường tấn công có thể đi qua network, có độ phức tạp thấp, yêu cầu quyền cao và không cần user interaction. Đánh giá được cung cấp ghi nhận scope là unchanged.

Lỗ hổng có thể bị tiếp cận từ network và yêu cầu attacker đã có quyền cao trong ứng dụng. Độ phức tạp được đánh giá là thấp và không cần người dùng khác tương tác. Bản ghi được cung cấp đánh dấu public_exploit là false và không nêu campaign, nạn nhân hoặc exploit cụ thể. Đánh giá CISA-ADP được trả về ghi nhận trạng thái exploitation là none và automatable là no; đây là đánh giá trong phạm vi dữ liệu hiện có, không chứng minh rằng việc lạm dụng là không thể xảy ra.

Khai thác thành công có thể bypass object-level authorization và tạo ra các thay đổi integrity trái phép đối với dữ liệu do plugin quản lý. Đánh giá hiện có cho biết confidentiality và availability không bị tác động, đồng thời scope không thay đổi. Vì loại object và thao tác cụ thể chưa được công bố, không thể kết luận chắc chắn rằng profile image, hồ sơ tài khoản hay một loại dữ liệu cụ thể nào sẽ bị thay đổi. Hậu quả tổ chức thực tế phụ thuộc vào quyền của tài khoản bị lạm dụng và chức năng mà site bật cho tài khoản đó.

• Người dùng đã có quyền cao có thể vượt qua kiểm soát truy cập dự kiến và thực hiện thay đổi trái phép đối với dữ liệu do plugin quản lý.
• Tác động được cung cấp tập trung vào integrity ở mức hạn chế; không ghi nhận tác động đến confidentiality hoặc availability trong đánh giá hiện có.
• Rủi ro thực tế phụ thuộc vào loại object mà đường xử lý bị lỗi bảo vệ và nhóm người dùng có thể truy cập chức năng đó.
• Bằng chứng hiện có không xác nhận breach, nạn nhân, chiến dịch tấn công hoặc mất dữ liệu cụ thể nào.

1. Cập nhật metronet-profile-picture lên 2.6.4, là bản phát hành được dữ liệu affected đánh dấu unaffected.
2. Xác minh sau cập nhật rằng inventory của WordPress site ghi nhận đúng package và version đã sửa, sau đó kiểm tra lại các chức năng profile picture liên quan.
3. Nếu chưa thể cập nhật, tham khảo maintainer của plugin, hosting provider hoặc web developer để xác định biện pháp giảm thiểu được hỗ trợ. Bằng chứng hiện có không nêu một workaround cụ thể nào.
4. Ưu tiên kiểm tra các site có tài khoản quyền cao có thể sử dụng plugin và tránh coi việc không có log đáng ngờ là bằng chứng đã loại bỏ exposure.

• Kiểm tra inventory của các WordPress site để xác định plugin metronet-profile-picture có đang được cài đặt và kích hoạt hay không.
• Đối chiếu version của package với ranh giới affected và fixed được nêu trong affected_summary.
• Xác định các tài khoản có quyền cao và có thể sử dụng chức năng của plugin, vì lỗ hổng không được đánh giá là unauthenticated.
• Rà soát web hoặc application log để tìm các request đã xác thực tới chức năng của plugin có dấu hiệu thay đổi bất thường object hoặc profile identifier. Đây chỉ là biện pháp rà soát thận trọng, không phải IOC đã được xác nhận, vì key và endpoint cụ thể chưa được công bố.
• Không thấy log đáng ngờ không chứng minh hệ thống an toàn nếu plugin vẫn nằm trong nhánh bị ảnh hưởng.