CVE-2026-61791

Nome do Software Vulnerável e Versões Afetadas OCO-Server versões anteriores a 1.2.1

Descrição Existe um problema onde a função Html::commandButton() em lib/Html.class.php insere o nome de host de um computador armazenado em uma string JavaScript dentro de um manipulador onclick inline. Como apenas htmlspecialchars(ENT QUOTES) é usado para escape HTML, os navegadores decodificam essas entidades antes de executar o JavaScript, permitindo que um nome de host manipulado escape da string e execute scripts arbitrários na sessão autenticada de um administrador. O arquivo frontend/views/computer-details.php passa a variável $computer->hostname para este auxiliar via Computer::DEFAULT COMPUTER COMMANDS em lib/Models/Computer.class.php, afetando especificamente as entradas VNC, RDP, SSH e Ping que usam o ramo window.location. Um invasor remoto com a agent-registration-key compartilhada pode armazenar um nome de host malicioso usando o manipulador oco.agent.hello no endpoint frontend/api-agent.php se a opção agent-self-registration-enabled estiver ativa. Isso pode levar ao abuso de privilégios do administrador, como a implantação de tarefas de software em computadores gerenciados.

Recomendações Atualizar para a versão 1.2.1. Desativar a configuração agent-self-registration-enabled para evitar o armazenamento de nomes de host não autorizados.