CVE-2026-56784
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podatność IDOR w OpenRemote przed wersją 1.25.0 umożliwia uwierzytelnionym użytkownikom trwałe usuwanie alarmów należących do innych dzierżawców poprzez podanie dowolnych identyfikatorów alarmów. Metoda removeAlarms() w AlarmResourceImpl.java pomija walidację zakresu dzierżawy w zapytaniu JPA.
Ocena ryzyka
Atakujący może usunąć alarmy innych organizacji, co prowadzi do utraty danych i naruszenia izolacji między dzierżawcami. Może to zakłócić działanie systemów monitorujących i bezpieczeństwa.
Rekomendacja
Należy niezwłocznie zaktualizować OpenRemote do wersji 1.25.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do endpointu usuwania alarmów tylko dla zaufanych użytkowników.
Inne podatności w OpenRemote
Zobacz wszystkie- CVE-2026-73616Średnie
Punkty końcowe usuwania powiadomień w OpenRemote nie egzekwują granic domen (realm), co pozwala każdemu administratorowi domeny na usuwanie powiadomień należących do innych domen. Atakujący z rolą write:admin w jednej domenie mogą wysyłać żądania DELETE, aby usuwać powiadomienia z domeny głównej lub innych dzierżawców bez kontroli autoryzacji.
- CVE-2026-66013Krytyczne
OpenRemote przed wersją 1.26.2 zawiera podatność na ominięcie uwierzytelniania w API rejestracji konsoli, co pozwala nieuwierzytelnionym atakującym na aktualizację istniejących zasobów konsoli poprzez podanie znanego identyfikatora zasobu.
- CVE-2026-81679Wysokie
OpenRemote przed wersją 1.28.0 zawiera podatność na ujawnienie informacji między domenami w API REST powiadomień. Administratorzy dzierżawy mogą odczytać wysłane powiadomienia wszystkich dzierżaw, w tym treści wiadomości, wysyłając żądanie GET bez parametrów do punktu końcowego powiadomień.
- CVE-2026-67310Średnie
OpenRemote (org.openremote:openremote) w wersjach do 1.26.2 zawiera podatność na bezpośrednie odwołanie do niebezpiecznego obiektu (IDOR) w punkcie końcowym setAssetLinks w AlarmResourceImpl. Sprawdzanie dostępu do domeny (realm) waliduje tylko pojedynczą domenę uzyskaną przez realms.stream().findFirst() na HashSet domen z żądania, zamiast wszystkich domen. Ze względu na niedeterministyczną kolejność iteracji HashSet, uwierzytelniony atakujący może z około 50% prawdopodobieństwem na żądanie (z możliwością ponowienia) utrwalić linki między domenami i ujawnić nazwy zasobów ofiary.
- CVE-2026-65009Średnie
Podatność w OpenRemote przed wersją 1.26.2. Endpoint REST SyslogResource (`GET /api/{realm}/syslog/event`) nie filtruje logów operacyjnych według realm, co pozwala atakującym z rolą `read:rules` na odczyt logów ze wszystkich tenantów, w tym ID assetów, szczegółów połączeń agentów, nazw reguł i błędów protokołów.
- CVE-2026-62238Wysokie
OpenRemote przed wersją 1.26.0 zawiera uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym eksportu tabeli przestawnej datapoint. Podatność ta wynika z konkatenacji nazw wyświetlanych zasobów bezpośrednio w zapytaniach PostgreSQL, co umożliwia atakującemu z uprawnieniami do tworzenia lub zmiany nazw zasobów wstrzyknięcie złośliwego kodu SQL.
Oryginalny opis (angielski, źródło NVD)
OpenRemote before 1.25.0 contains an insecure direct object reference (IDOR) vulnerability in the bulk alarm deletion endpoint that allows authenticated users to permanently delete alarms belonging to other tenants by supplying arbitrary alarm IDs. The removeAlarms() method in AlarmResourceImpl.java omits realm-scoping validation in its JPA query, enabling any user with alarm-write permissions to enumerate sequential auto-increment alarm IDs and delete cross-tenant alarm records without authorization.