CVE-2026-28515
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto brak autoryzacji w plikach install.php i container-install.php. Instalator i procedura aktualizacji udostępniają funkcjonalność konfiguracji LDAP bez wymagania odpowiednich ról aplikacyjnych. Każdy uwierzytelniony użytkownik może uzyskać dostęp do tej funkcji, niezależnie od posiadanych uprawnień.
Ocena ryzyka
Nieautoryzowana modyfikacja konfiguracji LDAP może prowadzić do przejęcia kontroli nad uwierzytelnianiem w organizacji, umożliwiając atakującemu dostęp do wrażliwych danych lub systemów. W przypadku wdrożeń z REMOTE_USER bez wymuszania uwierzytelniania, podatność może być wykorzystana bez żadnych poświadczeń.
Rekomendacja
Należy natychmiast zaktualizować openDCIM do wersji zawierającej poprawkę (poza commit 4467e9c4) lub ręcznie zabezpieczyć pliki install.php i container-install.php poprzez dodanie kontroli dostępu opartej na rolach. W międzyczasie ogranicz dostęp do tych plików za pomocą reguł firewall lub serwera WWW.
Inne podatności w openDCIM
Zobacz wszystkie- CVE-2026-28517Krytyczne
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku report_network_map.php. Aplikacja pobiera parametr konfiguracyjny 'dot' z bazy danych i przekazuje go bezpośrednio do funkcji exec() bez walidacji lub sanityzacji.
- CVE-2026-28516Wysokie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie SQL w funkcji Config::UpdateParameter. Procedury install.php i container-install.php przekazują dane wejściowe użytkownika bezpośrednio do zapytań SQL bez użycia przygotowanych wyrażeń ani odpowiedniej sanityzacji. Uwierzytelniony użytkownik może wykonać dowolne polecenia SQL na bazie danych.
Oryginalny opis (angielski, źródło NVD)
openDCIM version 23.04, through commit 4467e9c4, contains a missing authorization vulnerability in install.php and container-install.php. The installer and upgrade handler expose LDAP configuration functionality without enforcing application role checks. Any authenticated user can access this functionality regardless of assigned privileges. In deployments where REMOTE_USER is set without authentication enforcement, the endpoint may be accessible without credentials. This allows unauthorized modification of application configuration.