CVE-2026-66013
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
OpenRemote przed wersją 1.26.2 zawiera podatność na ominięcie uwierzytelniania w API rejestracji konsoli, co pozwala nieuwierzytelnionym atakującym na aktualizację istniejących zasobów konsoli poprzez podanie znanego identyfikatora zasobu.
Ocena ryzyka
Atakujący może nadpisać tokeny powiadomień push i metadane konsoli, przekierowując powiadomienia lub uniemożliwiając ich dostarczenie do legalnych konsol.
Rekomendacja
Zaktualizuj OpenRemote do wersji 1.26.2 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
OpenRemote before 1.26.2 contains an authentication bypass vulnerability in the console registration API that allows unauthenticated attackers to update existing console assets by supplying a known asset identifier. Attackers can overwrite push notification tokens and console metadata without authentication or ownership validation, redirecting notifications or denying delivery to legitimate consoles.