CVE-2024-57052

Podatność sklasyfikowana jako CWE-384 (Session Fixation) polega na nieprawidłowej walidacji parametru sessionID przekazywanego do pliku index.php. Atakujący może zmanipulować wartość tego parametru w sposób pozwalający na przejęcie lub utrwalenie sesji uprzywilejowanego użytkownika. Ponieważ atak nie wymaga uwierzytelnienia ani interakcji po stronie ofiary, może być przeprowadzony w pełni zdalnie przez sieć.

Skuteczne wykorzystanie podatności pozwala atakującemu na eskalację uprawnień do poziomu uprzywilejowanego użytkownika lub administratora, co może skutkować pełnym przejęciem kontroli nad aplikacją, ujawnieniem poufnych danych oraz modyfikacją lub usunięciem zawartości serwisu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do pliku index.php od strony sieci zewnętrznej oraz wdrożenie mechanizmów monitorowania podejrzanych żądań zawierających nieoczekiwane wartości parametru sessionID.

YouDianCMS w wersji 9.5.20 oraz wszystkich wcześniejszych wersjach.

Publicznie dostępny proof-of-concept (PoC) został opublikowany w serwisie GitHub (gist.github.com/yahaha9). Podatność dotyczy mechanizmu Session Fixation — warto priorytetowo zweryfikować konfigurację zarządzania sesjami w całej aplikacji.