PT-2026-121407
CVE-2026-61791
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OCO-Server الإصدارات السابقة لـ 1.2.1
الوصف
توجد مشكلة حيث تقوم الدالة
Html::commandButton() في lib/Html.class.php بتضمين اسم مضيف كمبيوتر مخزن في سلسلة نصية JavaScript داخل معالج onclick مضمن. نظرًا لاستخدام htmlspecialchars(ENT QUOTES) فقط للهروب من HTML، تقوم المتصفحات بفك تشفير هذه الكيانات قبل تنفيذ JavaScript، مما يسمح لاسم مضيف مصمم خصيصًا بالهروب من السلسلة النصية وتنفيذ نص برمجي عشوائي في جلسة مسؤول مصادق عليها. يقوم ملف frontend/views/computer-details.php بتمرير المتغير $computer->hostname إلى هذا المساعد عبر Computer::DEFAULT COMPUTER COMMANDS في lib/Models/Computer.class.php وتحديدًا في إدخالات VNC و RDP و SSH و Ping التي تستخدم فرع window.location. يمكن لمهاجم عن بُعد يمتلك agent-registration-key المشترك تخزين اسم مضيف ضار باستخدام معالج oco.agent.hello في نقطة النهاية frontend/api-agent.php إذا كانت خاصية agent-self-registration-enabled مفعلة. قد يؤدي ذلك إلى إساءة استخدام صلاحيات المسؤول، مثل نشر مهام البرامج على أجهزة الكمبيوتر المدارة.التوصيات
التحديث إلى الإصدار 1.2.1.
تعطيل إعداد
agent-self-registration-enabled لمنع تخزين أسماء مضيفين غير مصرح بها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾