CVE-2026-118984
ŚrednieCVSS 5.5Streszczenie
OmniRoute w wersjach od 3.8.0 do przed 3.8.52 zawiera podatność niezweryfikowanej zmiany hasła, pozwalającą posiadaczom kluczy API o zakresie manage lub admin albo tokenów dostępu oma_ na zmianę hasła zarządzania bez podania obecnego hasła. Atakujący może wysłać żądania POST do /api/settings/require-login, aby zablokować operatora, przejąć logowanie do panelu lub całkowicie wyłączyć wymóg logowania.
Ocena ryzyka
Osoba posiadająca odpowiedni klucz API lub token może przejąć kontrolę nad panelem administracyjnym lub zablokować dostęp operatorowi, co prowadzi do utraty kontroli nad systemem.
Rekomendacja
Zaktualizuj OmniRoute do wersji 3.8.52 lub nowszej. Chroń i rotuj klucze API oraz tokeny oma_ i ogranicz ich zakres.
Inne podatności w OmniRoute
Zobacz wszystkie- CVE-2026-88062Krytyczne
W OmniRoute w wersji 3.8.49 i wcześniejszych endpoint POST /api/acp/agents przyjmował kontrolowane przez atakującego wartości binary i versionCommand, a po sprawdzeniu spójności execFileSync uruchamiał wybrany interpreter. Przy requireLogin=false lub w oknie bootstrapu zdalny anonimowy atakujący mógł wykonać dowolny kod w kontenerze serwera.
- CVE-2026-116634Średnie
OmniRoute w wersjach od 3.8.50 do 3.8.52 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na wystawianie tokenów synchronizacji przez POST /api/sync/tokens, gdy requireLogin jest wyłączone. Tokeny te można następnie wykorzystać do pobrania odszyfrowanych poświadczeń dostawców i kluczy API w postaci jawnej, a tokeny pozostają ważne po ponownym włączeniu logowania.
Oryginalny opis (angielski, źródło NVD)
OmniRoute 3.8.0 before 3.8.52 contains an unverified password change vulnerability that allows holders of manage- or admin-scoped API keys or oma_ access tokens to change the management password without the current password. Attackers can send POST requests to /api/settings/require-login to lock out the operator, take over dashboard login, or disable the login requirement entirely.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS