CVE-2025-61777

Flagforge: brak uwierzytelnienia w endpointach szablonów odznak

CVSS 9.4v3.1pub. 2025-10-06upd. 2025-10-30

Platforma CTF Flagforge w wersjach od 2.0.0 do 2.3.1 udostępniała endpointy API do zarządzania szablonami odznak bez wymagania uwierzytelnienia ani autoryzacji. Umożliwiało to nieautoryzowanym użytkownikom odczyt wrażliwych danych oraz tworzenie dowolnych wpisów w bazie danych.

▸ Pokaż oryginał (EN)

Flag Forge is a Capture The Flag (CTF) platform. Starting in version 2.0.0 and prior to version 2.3.2, the `/api/admin/badge-templates` (GET) and `/api/admin/badge-templates/create` (POST) endpoints previously allowed access without authentication or authorization. This could have enabled unauthorized users to retrieve all badge templates and sensitive metadata (createdBy, createdAt, updatedAt) and/or create arbitrary badge templates in the database. This could lead to data exposure, database pollution, or abuse of the badge system. The issue has been fixed in FlagForge v2.3.2. GET, POST, UPDATE, and DELETE endpoints now require authentication. Authorization checks ensure only admins can access and modify badge templates. No reliable workarounds are available.

🤖 Analiza AI

Jak działa

Endpointy `/api/admin/badge-templates` (GET) oraz `/api/admin/badge-templates/create` (POST) nie wymagały żadnego uwierzytelnienia ani weryfikacji uprawnień. Atakujący mógł więc bez logowania wysyłać żądania HTTP do tych adresów i uzyskiwać pełną listę szablonów odznak wraz z metadanymi (pola createdBy, createdAt, updatedAt), a także tworzyć dowolne szablony w bazie danych. Brak mechanizmu kontroli dostępu (CWE-306) skutkował całkowitym pominięciem warstwy bezpieczeństwa dla tych zasobów administracyjnych.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych metadanych platformy, zanieczyścić bazę danych fałszywymi szablonami odznak oraz nadużyć systemu przyznawania odznak, co może zakłócić działanie platformy CTF i naruszyć integralność jej danych.

Mitygacja

Należy zaktualizować Flagforge do wersji 2.3.2, w której wszystkie endpointy GET, POST, UPDATE i DELETE wymagają uwierzytelnienia, a kontrole autoryzacji ograniczają dostęp do szablonów odznak wyłącznie do administratorów. Producent nie wskazuje żadnych wiarygodnych obejść dla wcześniejszych wersji.

Kogo dotyczy

Flagforge w wersjach od 2.0.0 do 2.3.1 (włącznie)

Uwagi

Podatność dotyczy platformy open-source dedykowanej organizacji zawodów CTF (Capture The Flag). Poprawka dostępna jest w commicie e2121c5fb7a512a49dcd875812c944265fb1a846 w repozytorium GitHub projektu.