CVE-2026-111616
ŚrednieCVSS 4.9Streszczenie
Oqtane Framework do wersji 10.2.6 zawiera lukę obejścia autoryzacji w SettingController, która pozwala administratorowi jednej witryny odczytać prywatne ustawienia innej witryny współdzielącej ten sam serwer. Atakujący z rolą Administrator może podać entityId innej witryny, aby uzyskać wartości SMTPPassword i SMTPClientSecret.
Ocena ryzyka
Wyciek poświadczeń SMTP może umożliwić przejęcie poczty wychodzącej, wysyłanie sfałszowanych wiadomości w imieniu organizacji oraz dalszą eskalację ataków. Ryzyko dotyczy środowisk hostujących wiele witryn Oqtane na jednej instancji.
Rekomendacja
Zaktualizuj Oqtane Framework do wersji nowszej niż 10.2.6, gdy tylko będzie dostępna, oraz niezwłocznie rotuj hasła i sekrety SMTP używane przez wszystkie witryny. Rozważ ograniczenie liczby współdzielonych instancji i audyt uprawnień administratorów witryn.
Inne podatności w Oqtane Framework
Zobacz wszystkie- CVE-2026-122008Średnie
Oqtane Framework w wersjach przed 10.3.0 zawiera podatność typu server-side request forgery w endpoincie UploadFile w FileController.cs, która pozwala uwierzytelnionym zarejestrowanym użytkownikom na wymuszenie na serwerze pobierania dowolnych adresów URL poprzez podanie kontrolowanego przez wywołującego parametru url do HttpClient.GetStreamAsync bez walidacji schematu, hosta lub adresu IP. Atakujący mogą żądać zasobów wewnętrznych, takich jak usługi metadanych instancji w chmurze lub interfejsy zarządzania powiązane z localhost, zapisać pobraną odpowiedź jako plik w swoim folderze użytkownika i pobrać ją przez endpoint pobierania, aby eksfiltrować wrażliwe dane wewnętrzne lub wyliczyć hosty i porty w sieci wewnętrznej.
- CVE-2026-122007Średnie
Oqtane Framework w wersjach przed 10.3.0 zawiera podatność typu broken access control w SettingController.cs, która pozwala uwierzytelnionemu administratorowi witryny na odczyt i modyfikację ustawień należących do innych witryn w tej samej bazie danych dzierżawcy poprzez podanie dowolnego entityId dla ustawień typu Site lub Role, ponieważ IsAuthorized i FilterPrivate nie weryfikują, czy żądana witryna odpowiada bieżącemu aliasowi SiteId. Atakujący mogą wykorzystać endpointy /api/setting do ujawnienia prywatnych wartości, takich jak SMTPPassword, SMTPClientSecret i ExternalLogin ClientSecret, oraz do zmiany konfiguracji uwierzytelniania OIDC/OAuth2 innej witryny bez wymagania uprawnień hosta.
Oryginalny opis (angielski, źródło NVD)
Oqtane Framework through 10.2.6 contains an authorization bypass vulnerability in SettingController that allows a site administrator to read another co-tenant site's private settings. Attackers with the Administrators role on one site can request another site's entityId through their own alias to retrieve stored SMTPPassword and SMTPClientSecret values.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS