CVE-2025-22144

NamelessMC — przejęcie konta przez pusty kod resetowania hasła

CVSS 9.0v4.0pub. 2025-01-13upd. 2025-05-13

Oprogramowanie NamelessMC (platforma stron internetowych dla serwerów Minecraft) zawiera podatność umożliwiającą atakującemu zresetowanie hasła dowolnego użytkownika ręcznie zatwierdzonego przez administratora. Luka pozwala na całkowite przejęcie konta ofiary bez znajomości jej aktualnego hasła.

▸ Pokaż oryginał (EN)

NamelessMC is a free, easy to use & powerful website software for Minecraft servers. A user with admincp.core.emails or admincp.users.edit permissions can validate users and an attacker can reset their password. When the account is successfully approved by email the reset code is NULL, but when the account is manually validated by a user with admincp.core.emails or admincp.users.edit permissions then the reset_code will no longer be NULL but empty. An attacker can request http://localhost/nameless/index.php?route=/forgot_password/&c= and reset the password. As a result an attacker may compromise another users password and take over their account. This issue has been addressed in release version 2.1.3 and all users are advised to upgrade. There are no known workarounds for this vulnerability.

🤖 Analiza AI

Jak działa

Gdy konto użytkownika jest zatwierdzane drogą e-mailową, pole reset_code w bazie danych przyjmuje wartość NULL. Natomiast gdy konto jest ręcznie zatwierdzane przez użytkownika posiadającego uprawnienia admincp.core.emails lub admincp.users.edit, pole reset_code nie jest NULL, lecz jest puste (pusty ciąg znaków). Atakujący może wysłać żądanie HTTP do endpointu forgot_password z pustym parametrem c (np. index.php?route=/forgot_password/&c=), co system błędnie interpretuje jako prawidłowy kod resetowania hasła. W efekcie atakujący uzyskuje możliwość ustawienia nowego hasła dla konta ofiary bez żadnej dodatkowej weryfikacji.

Skutki

Atakujący może przejąć kontrolę nad kontem dowolnego użytkownika ręcznie zatwierdzonego przez administratora, zmieniając jego hasło bez wiedzy właściciela konta.

Mitygacja

Należy zaktualizować NamelessMC do wersji 2.1.3 lub nowszej. Producent informuje, że nie istnieją znane obejścia tej podatności — aktualizacja jest jedynym zalecanym rozwiązaniem.

Kogo dotyczy

NamelessMC (Nameless) — wersje poprzedzające 2.1.3

Uwagi

Podatność wymaga, aby konto docelowego użytkownika zostało uprzednio ręcznie zatwierdzone przez administratora z uprawnieniami admincp.core.emails lub admincp.users.edit — nie dotyczy kont zatwierdzonych automatycznie przez e-mail.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X