CVE-2025-59827

Brak kontroli dostępu w Flag Forge — privilege escalation przez endpoint przypisywania odznak

CVSS 9.8v3.1pub. 2025-09-24upd. 2025-10-08

W platformie Flag Forge w wersji 2.1.0 endpoint /api/admin/assign-badge nie wymaga uprawnień administracyjnych, co pozwala każdemu zalogowanemu użytkownikowi nadać sobie odznakę wysokich uprawnień (np. Staff). Podatność umożliwia przejęcie roli administratora bez autoryzacji.

▸ Pokaż oryginał (EN)

Flag Forge is a Capture The Flag (CTF) platform. In version 2.1.0, the /api/admin/assign-badge endpoint lacks proper access control, allowing any authenticated user to assign high-privilege badges (e.g., Staff) to themselves. This could lead to privilege escalation and impersonation of administrative roles. This issue has been patched in version 2.2.0.

🤖 Analiza AI

Jak działa

Endpoint /api/admin/assign-badge przeznaczony do administracyjnego przypisywania odznak nie implementuje właściwej kontroli dostępu (CWE-862 — Missing Authorization). Każdy uwierzytelniony użytkownik może wysłać żądanie do tego endpointu i samodzielnie przypisać sobie odznakę o wysokich uprawnieniach, taką jak Staff. Nie jest wymagana żadna rola administracyjna ani dodatkowa weryfikacja tożsamości po stronie serwera.

Skutki

Atakujący z dowolnym kontem użytkownika może uzyskać uprawnienia administracyjne (privilege escalation) i podszywać się pod rolę Staff lub inną uprzywilejowaną rolę w platformie, co może prowadzić do pełnego przejęcia kontroli nad systemem CTF.

Mitygacja

Należy zaktualizować Flag Forge do wersji 2.2.0, w której podatność została załatana przez producenta.

Kogo dotyczy

Flag Forge w wersji 2.1.0

Uwagi

Podatność dotyczy platformy CTF (Capture The Flag) używanej w środowiskach zawodów bezpieczeństwa. Szczegółowe informacje dostępne w security advisory na GitHub: GHSA-7944-xvv7-cv79.