Logique défaillante dans la réinitialisation de mot de passe

Password reset broken logic

Le laboratoire présente une vulnérabilité dans le mécanisme de réinitialisation de mot de passe. L’objectif consiste à réinitialiser le mot de passe de Carlos, puis à accéder à sa page My account. Identifiants fournis :

• wiener:peter

• Nom d’utilisateur de la victime : carlos

Analyse et étapes

1. Fonction « Mot de passe oublié »

L’application propose une fonctionnalité de récupération via Forgot password.

Depuis cette section, il est possible de modifier l’adresse email associée au compte

2. Réception du mail de réinitialisation

Une fois l’email changé, un message contenant un lien de réinitialisation est envoyé. Le mail inclut un token temporaire dans l’URL :

Sent:     2025-12-09 19:42:17 +0000
From:     "No reply" <[e-mail]>
To:       [e-mail]
Subject:  Account recovery

Hello!

Please follow the link below to reset your password.

https://0ae200710383c04f868b0866005e0000.web-security-academy.net/forgot-password?temp-forgot-password-token=nec3070jgtmwcvnxt5b0ipmdh9746umj

Thanks,
Support team

3. Soumission du formulaire

En accédant à ce lien, l’application demande d’entrer un nouveau mot de passe. Les paramètres envoyés sont semblables à :

temp-forgot-password-token=nec3070jgtmwcvnxt5b0ipmdh9746umj
username=wiener
new-password-1=test
new-password-2=test

4. Exploitation de la logique défectueuse

Le serveur ne vérifie pas que le token correspond réellement à l’utilisateur mentionné dans la requête. Il suffit de remplacer le champ username=wiener par username=carlos :

temp-forgot-password-token=nec3070jgtmwcvnxt5b0ipmdh9746umj
username=carlos
new-password-1=test
new-password-2=test

L’application accepte la demande, ce qui permet de définir un nouveau mot de passe pour Carlos.