CVE-2026-66088
KrytyczneCVSS 9.4Streszczenie
W openEQUELLA przed wersją 2026.1 funkcja system.execute() dostępna w silniku skryptów uruchamia dostarczone polecenia systemu operacyjnego bez walidacji ani listy dozwolonych programów. Użytkownik mogący tworzyć lub edytować skrypty może wykonać dowolne polecenia z uprawnieniami konta usługi openEQUELLA.
Ocena ryzyka
Osoba z możliwością edycji skryptów może wykonać dowolne polecenia systemowe, co prowadzi do eskalacji uprawnień i potencjalnego przejęcia serwera.
Rekomendacja
Zaktualizuj openEQUELLA do wersji 2026.1 lub nowszej oraz ogranicz uprawnienia do tworzenia i edycji skryptów do zaufanych administratorów.
Inne podatności w openEQUELLA
Zobacz wszystkie- CVE-2026-66092Średnie
W openEQUELLA przed wersją 2026.2 powiadomienie przed logowaniem jest przechowywane jako HTML i renderowane na starszej stronie logowania bez kodowania i sanityzacji. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może ustawić powiadomienie zawierające dowolny skrypt (PUT /api/preloginnotice), co prowadzi do przechowywanego XSS na stronie logowania; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.
- CVE-2026-66091Średnie
W openEQUELLA przed wersją 2026.1 endpoint GET /api/userquery/userinfobackup nie wykonuje żadnej kontroli uwierzytelnienia ani autoryzacji. Nieuwierzytelniony atakujący, podając uniqueId innego użytkownika, może pobrać jego zapisane dane osobowe (nazwę użytkownika, imię, nazwisko i adres e-mail) w obrębie tej samej instytucji.
- CVE-2026-66090Wysokie
W openEQUELLA przed wersją 2026.1 parser XML używany do metadanych elementów nie wyłącza rozwiązywania encji zewnętrznych. Użytkownik z uprawnieniem CREATE_ITEM może przesłać spreparowany XML do POST /api/item i spowodować odczyt dowolnych plików dostępnych dla usługi lub żądania do lokalizacji wskazanych przez atakującego (SSRF), w tym usług metadanych instancji chmurowych.
- CVE-2026-66089Średnie
W openEQUELLA przed wersją 2026.1 API SOAP parsuje XML dostarczony w operacji stopEdit parserem, który rozwiązuje encje zewnętrzne. Pozwala to atakującemu odczytać dowolne pliki dostępne dla usługi openEQUELLA lub spowodować, że serwer wykona żądania do lokalizacji wskazanych przez atakującego (SSRF).
- CVE-2026-16889Średnie
W openEQUELLA przed wersją 2026.1 endpoint przesyłania obrazu powiadomienia przed logowaniem (PUT /api/preloginnotice/image/{name}) nie waliduje typu przesyłanych plików i serwuje je z Content-Type wynikającym z dostarczonej nazwy pliku. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może przesłać plik HTML, który jest następnie serwowany jako text/html z domeny openEQUELLA, co prowadzi do przechowywanego XSS; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.
- CVE-2026-67615Wysokie
openEQUELLA przed wersją 2026.1.0 zawiera podatność na zdalne wykonanie kodu, która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na wykonanie dowolnego kodu poprzez wykorzystanie deserializacji Java w punkcie końcowym HTTP /invoker/*. Atakujący może ominąć listę zabronionych nazw klas, zagnieżdżając serializowany ładunek wewnątrz java.security.SignedObject.
- CVE-2026-94109Wysokie
openEQUELLA przed wersją 2026.1.0 zawiera uwierzytelnioną podatność na wstrzykiwanie szablonów po stronie serwera w funkcji FreemarkerPortletRenderer.renderHtml(), która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na osiągnięcie zdalnego wykonania kodu poprzez zapisanie złośliwego ładunku FreeMarker przez żądanie POST do punktu końcowego RemotePortletService invoker. Pole markup z zapisanej konfiguracji portletu jest przekazywane bezpośrednio do custFactory.createResult() bez ograniczenia TemplateClassResolver lub sandboxingu FreeMarker w BasicConfiguration, pozostawiając dostępne wbudowane funkcje takie jak ?new i freemarker.template.utility.Execute, co powoduje wykonanie ładunku w procesie serwera aplikacji, gdy dowolny użytkownik renderuje pulpit zawierający dotknięty portlet.
Oryginalny opis (angielski, źródło NVD)
In openEQUELLA before 2026.1, the system.execute() function available to the scripting engine runs supplied operating system commands without validation or an allow-list of permitted executables. A user able to create or edit scripts can use it to execute arbitrary commands with the privileges of the openEQUELLA service account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS