PT-2026-139952
CVE-2026-124436
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenRemote الإصدارات السابقة لـ 1.32.2
Description
تسمح مشكلة في التصريح غير الصحيح لمديري النطاقات (realm administrators) بالوصول إلى الموارد العالمية وتعديلها من خلال استدعاء نقاط نهاية إدارية تفتقر إلى فحوصات المسؤول الخارق (super administrator). يمكن للمهاجم استخدام نقطة النهاية '/configuration/manager' لتغيير متغير
keycloakUrl العالمي، مما يتيح إعادة توجيه مصادقة وحدة التحكم للنطاقات الأخرى لتسهيل التصيد الاحتيالي لبيانات الاعتماد. بالإضافة إلى ذلك، يسمح هذا بحقن CSS، واستبدال مربعات الخرائط (map tiles)، وحذف السجلات.Recommendations
التحديث إلى الإصدار 1.32.2 أو إصدار أحدث.
تقييد الوصول إلى نقطة النهاية '/configuration/manager' لمنع التعديلات غير المصرح بها على الإعدادات العالمية.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾