PT-2026-56060
CVE-2026-54641
·
تاريخ النشر
2026-07-06
·
تاريخ التحديث
2026-10-13
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenRemote الإصدارات السابقة لـ 1.24.2
Description
توجد مشكلة في التحكم في الوصول في ملف
UserResourceImpl.java. تقوم الدوال get() و getUserClientRoles() و getUserRealmRoles() بتفويض المتصلين الذين لديهم دور read:admin دون التأكد من أن UUID المستخدم المستهدف ينتمي إلى النطاق (realm) المصادق عليه. يسمح هذا لمسؤول النطاق بتجاوز عزل المستأجرين واسترداد الملف الشخصي وأدوار العميل وأدوار النطاق للمستخدمين من مستأجرين آخرين أو النطاق الرئيسي عن طريق تقديم معرف المستخدم المستهدف في مسار API REST. تتيح هذه الثغرة تعداد المستخدمين عبر المستأجرين واستطلاع مستويات الامتيازات.Recommendations
تحديث OpenRemote إلى الإصدار 1.24.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾