CVE-2026-114515

Nome do Software Vulnerável e Versões Afetadas OCO-Server versões anteriores a 1.2.3

Descrição Um usuário válido do Portal de Autoatendimento com permissões para criar contêineres de trabalho e visibilidade de leitura em um computador e pacote pode enfileirar tarefas de remoção de software não autorizadas. Isso ocorre porque as solicitações para o endpoint self-service/ajax-handler/job-containers.php passam valores de uninstall package assignment id[] para a função uninstallSelfService() em lib/SelfService/CoreLogic.class.php. O loop de verificação de permissão nesta função não remove os IDs rejeitados da variável $installationIds após as verificações de METHOD DEPLOY negadas. Posteriormente, a lista original é passada para a função uninstall() em lib/CoreLogic.class.php. Como o objeto CoreLogic é construído com um SystemUser nulo, a função checkPermission() trata a operação como contexto de sistema e a permite incondicionalmente. Isso permite a seleção de atribuições de pacotes instalados legíveis via valores enumeráveis de computer package.id, incluindo aqueles em computadores de outros usuários.

Recomendações Atualize o OCO-Server para a versão 1.2.3.