CVE-2026-116634
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
OmniRoute w wersjach od 3.8.50 do 3.8.52 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na wystawianie tokenów synchronizacji przez POST /api/sync/tokens, gdy requireLogin jest wyłączone. Tokeny te można następnie wykorzystać do pobrania odszyfrowanych poświadczeń dostawców i kluczy API w postaci jawnej, a tokeny pozostają ważne po ponownym włączeniu logowania.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych poświadczeń dostawców i kluczy API, co może prowadzić do nieautoryzowanego dostępu do zewnętrznych usług. Ponieważ tokeny pozostają ważne po włączeniu logowania, ryzyko utrzymuje się nawet po zmianie konfiguracji.
Rekomendacja
Zaktualizuj OmniRoute do wersji 3.8.52 lub nowszej. Unieważnij wszystkie istniejące tokeny synchronizacji i przejrzyj klucze API pod kątem potencjalnego nieautoryzowanego użycia.
Inne podatności w OmniRoute
Zobacz wszystkie- CVE-2026-118984Średnie
OmniRoute w wersjach od 3.8.0 do przed 3.8.52 zawiera podatność niezweryfikowanej zmiany hasła, pozwalającą posiadaczom kluczy API o zakresie manage lub admin albo tokenów dostępu oma_ na zmianę hasła zarządzania bez podania obecnego hasła. Atakujący może wysłać żądania POST do /api/settings/require-login, aby zablokować operatora, przejąć logowanie do panelu lub całkowicie wyłączyć wymóg logowania.
- CVE-2026-88062Krytyczne
W OmniRoute w wersji 3.8.49 i wcześniejszych endpoint POST /api/acp/agents przyjmował kontrolowane przez atakującego wartości binary i versionCommand, a po sprawdzeniu spójności execFileSync uruchamiał wybrany interpreter. Przy requireLogin=false lub w oknie bootstrapu zdalny anonimowy atakujący mógł wykonać dowolny kod w kontenerze serwera.
Oryginalny opis (angielski, źródło NVD)
OmniRoute 3.8.50 before 3.8.52 contains a missing authentication vulnerability that allows unauthenticated attackers to issue sync tokens via POST /api/sync/tokens when requireLogin is disabled. Attackers can use the issued token against GET /api/sync/bundle to retrieve decrypted provider credentials and plaintext API keys, with tokens persisting after login is re-enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS