CVE-2026-122008
ŚrednieCVSS 5.0Streszczenie
Oqtane Framework w wersjach przed 10.3.0 zawiera podatność typu server-side request forgery w endpoincie UploadFile w FileController.cs, która pozwala uwierzytelnionym zarejestrowanym użytkownikom na wymuszenie na serwerze pobierania dowolnych adresów URL poprzez podanie kontrolowanego przez wywołującego parametru url do HttpClient.GetStreamAsync bez walidacji schematu, hosta lub adresu IP. Atakujący mogą żądać zasobów wewnętrznych, takich jak usługi metadanych instancji w chmurze lub interfejsy zarządzania powiązane z localhost, zapisać pobraną odpowiedź jako plik w swoim folderze użytkownika i pobrać ją przez endpoint pobierania, aby eksfiltrować wrażliwe dane wewnętrzne lub wyliczyć hosty i porty w sieci wewnętrznej.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do wewnętrznych zasobów i eksfiltrować wrażliwe dane, takie jak metadane instancji chmury. Może również przeprowadzić rekonesans sieci wewnętrznej.
Rekomendacja
Zaktualizuj Oqtane Framework do wersji 10.3.0 lub nowszej. Wdróż walidację adresów URL i ograniczenia wychodzących żądań HTTP.
Inne podatności w Oqtane Framework
Zobacz wszystkie- CVE-2026-122007Średnie
Oqtane Framework w wersjach przed 10.3.0 zawiera podatność typu broken access control w SettingController.cs, która pozwala uwierzytelnionemu administratorowi witryny na odczyt i modyfikację ustawień należących do innych witryn w tej samej bazie danych dzierżawcy poprzez podanie dowolnego entityId dla ustawień typu Site lub Role, ponieważ IsAuthorized i FilterPrivate nie weryfikują, czy żądana witryna odpowiada bieżącemu aliasowi SiteId. Atakujący mogą wykorzystać endpointy /api/setting do ujawnienia prywatnych wartości, takich jak SMTPPassword, SMTPClientSecret i ExternalLogin ClientSecret, oraz do zmiany konfiguracji uwierzytelniania OIDC/OAuth2 innej witryny bez wymagania uprawnień hosta.
- CVE-2026-111616Średnie
Oqtane Framework do wersji 10.2.6 zawiera lukę obejścia autoryzacji w SettingController, która pozwala administratorowi jednej witryny odczytać prywatne ustawienia innej witryny współdzielącej ten sam serwer. Atakujący z rolą Administrator może podać entityId innej witryny, aby uzyskać wartości SMTPPassword i SMTPClientSecret.
Oryginalny opis (angielski, źródło NVD)
Oqtane Framework before 10.3.0 contains a server-side request forgery vulnerability in the UploadFile endpoint of FileController.cs that allows authenticated registered users to make the server fetch arbitrary URLs by supplying a caller-controlled url parameter to HttpClient.GetStreamAsync without validating the scheme, host, or IP address. Attackers can request internal resources such as cloud instance metadata services or localhost-bound management interfaces, save the fetched response as a file in their own user folder, and retrieve it via the download endpoint to exfiltrate sensitive internal data or enumerate internal network hosts and ports.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS