CVE-2026-122007
ŚrednieCVSS 6.5Streszczenie
Oqtane Framework w wersjach przed 10.3.0 zawiera podatność typu broken access control w SettingController.cs, która pozwala uwierzytelnionemu administratorowi witryny na odczyt i modyfikację ustawień należących do innych witryn w tej samej bazie danych dzierżawcy poprzez podanie dowolnego entityId dla ustawień typu Site lub Role, ponieważ IsAuthorized i FilterPrivate nie weryfikują, czy żądana witryna odpowiada bieżącemu aliasowi SiteId. Atakujący mogą wykorzystać endpointy /api/setting do ujawnienia prywatnych wartości, takich jak SMTPPassword, SMTPClientSecret i ExternalLogin ClientSecret, oraz do zmiany konfiguracji uwierzytelniania OIDC/OAuth2 innej witryny bez wymagania uprawnień hosta.
Ocena ryzyka
Administrator witryny może uzyskać dostęp do wrażliwych danych innych witryn i zmodyfikować ich konfigurację uwierzytelniania, co może prowadzić do przejęcia kont lub ujawnienia sekretów. Wymaga to uprawnień administratora witryny.
Rekomendacja
Zaktualizuj Oqtane Framework do wersji 10.3.0 lub nowszej. Zaimplementuj poprawne sprawdzanie uprawnień do ustawień na podstawie SiteId.
Inne podatności w Oqtane Framework
Zobacz wszystkie- CVE-2026-122008Średnie
Oqtane Framework w wersjach przed 10.3.0 zawiera podatność typu server-side request forgery w endpoincie UploadFile w FileController.cs, która pozwala uwierzytelnionym zarejestrowanym użytkownikom na wymuszenie na serwerze pobierania dowolnych adresów URL poprzez podanie kontrolowanego przez wywołującego parametru url do HttpClient.GetStreamAsync bez walidacji schematu, hosta lub adresu IP. Atakujący mogą żądać zasobów wewnętrznych, takich jak usługi metadanych instancji w chmurze lub interfejsy zarządzania powiązane z localhost, zapisać pobraną odpowiedź jako plik w swoim folderze użytkownika i pobrać ją przez endpoint pobierania, aby eksfiltrować wrażliwe dane wewnętrzne lub wyliczyć hosty i porty w sieci wewnętrznej.
- CVE-2026-111616Średnie
Oqtane Framework do wersji 10.2.6 zawiera lukę obejścia autoryzacji w SettingController, która pozwala administratorowi jednej witryny odczytać prywatne ustawienia innej witryny współdzielącej ten sam serwer. Atakujący z rolą Administrator może podać entityId innej witryny, aby uzyskać wartości SMTPPassword i SMTPClientSecret.
Oryginalny opis (angielski, źródło NVD)
Oqtane Framework before 10.3.0 contains a broken access control vulnerability in SettingController.cs that allows an authenticated site administrator to read and modify settings belonging to other sites within the same tenant database by supplying an arbitrary entityId for Site or Role type settings, since IsAuthorized and FilterPrivate fail to verify the requested site matches the current alias SiteId. Attackers can exploit the /api/setting endpoints to disclose private values such as SMTPPassword, SMTPClientSecret, and ExternalLogin ClientSecret, and to alter another site's OIDC/OAuth2 authentication configuration without requiring host privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS