Vladyslav Koniakhin

**Nome do Software Vulnerável e Versões Afetadas** OpenRemote versões anteriores a 1.25.0 **Description** Uma referência direta a objeto insegura (IDOR) existe no endpoint de exclusão de alarmes em massa. Isso ocorre porque a função `removeAlarms()` em `AlarmResourceImpl.java` não realiza a validação de escopo de realm em sua consulta JPA. Consequentemente, usuários autenticados com permissões de escrita de alarmes podem excluir registros de alarmes pertencentes a outros locatários (tenants) ao fornecer IDs de alarmes sequenciais e arbitrários. **Recommendations** Atualize para a versão 1.25.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** OpenRemote versões anteriores a 1.25.0 **Description** Uma referência direta a objeto insegura (IDOR) existe no endpoint de exclusão de alarmes em massa. A função `removeAlarms()` em `AlarmResourceImpl.java` não realiza a validação de escopo de realm em sua consulta JPA. Isso permite que usuários autenticados com permissões de escrita de alarmes excluam alarmes pertencentes a outros tenants ao fornecer IDs de alarmes arbitrários e sequenciais de auto-incremento, levando à destruição permanente de alertas de segurança e críticos em diferentes realms. **Recommendations** Atualize para a versão 1.25.0 ou posterior. Como medida paliativa temporária, restrinja o acesso à função `removeAlarms()` apenas a administradores altamente confiáveis até que a atualização seja aplicada.