CVE-2026-69115
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
OpenIM Server v3.8.3 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do endpointów API przeznaczonych tylko dla administratorów poprzez wysyłanie żądań POST z tokenem bearer zwykłego użytkownika do /user/get_users, /user/get_all_users_uid i /group/get_groups. Atakujący mogą wykorzystać brak wywołania authverify.CheckAdmin() w handlerach GetPaginationUsers, GetAllUserID i GetGroups, aby wyliczyć wszystkie konta użytkowników platformy, w tym userID, nicki i flagi poziomu menedżera, oraz wszystkie grupy, w tym prywatne grupy, do których użytkownik nigdy nie dołączył, ujawniając nazwy grup, ID właścicieli i liczby członków.
Ocena ryzyka
Brak autoryzacji może umożliwić ujawnienie wrażliwych danych o użytkownikach i grupach, co może naruszyć prywatność i bezpieczeństwo platformy.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie OpenIM Server do wersji, która zawiera poprawkę na tę podatność. Należy również wdrożyć odpowiednie kontrole dostępu i monitorować żądania do endpointów administracyjnych.
Oryginalny opis (angielski, źródło NVD)
OpenIM Server v3.8.3 contains a missing authorization vulnerability that allows any authenticated user to access admin-only management API endpoints by submitting POST requests with a regular user bearer token to /user/get_users, /user/get_all_users_uid, and /group/get_groups. Attackers can exploit the absent authverify.CheckAdmin() call in the GetPaginationUsers, GetAllUserID, and GetGroups handlers to enumerate all platform user accounts including userIDs, nicknames, and manager level flags, as well as all groups including private groups the user has never joined, exposing group names, owner IDs, and member counts.