CVE-2026-66091
ŚrednieCVSS 6.9Streszczenie
W openEQUELLA przed wersją 2026.1 endpoint GET /api/userquery/userinfobackup nie wykonuje żadnej kontroli uwierzytelnienia ani autoryzacji. Nieuwierzytelniony atakujący, podając uniqueId innego użytkownika, może pobrać jego zapisane dane osobowe (nazwę użytkownika, imię, nazwisko i adres e-mail) w obrębie tej samej instytucji.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dane osobowe użytkowników, co stanowi naruszenie poufności i może być wykorzystane do dalszych ataków socjotechnicznych.
Rekomendacja
Zaktualizuj openEQUELLA do wersji 2026.1 lub nowszej i ogranicz dostęp do endpointu /api/userquery/userinfobackup.
Inne podatności w openEQUELLA
Zobacz wszystkie- CVE-2026-66092Średnie
W openEQUELLA przed wersją 2026.2 powiadomienie przed logowaniem jest przechowywane jako HTML i renderowane na starszej stronie logowania bez kodowania i sanityzacji. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może ustawić powiadomienie zawierające dowolny skrypt (PUT /api/preloginnotice), co prowadzi do przechowywanego XSS na stronie logowania; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.
- CVE-2026-66090Wysokie
W openEQUELLA przed wersją 2026.1 parser XML używany do metadanych elementów nie wyłącza rozwiązywania encji zewnętrznych. Użytkownik z uprawnieniem CREATE_ITEM może przesłać spreparowany XML do POST /api/item i spowodować odczyt dowolnych plików dostępnych dla usługi lub żądania do lokalizacji wskazanych przez atakującego (SSRF), w tym usług metadanych instancji chmurowych.
- CVE-2026-66089Średnie
W openEQUELLA przed wersją 2026.1 API SOAP parsuje XML dostarczony w operacji stopEdit parserem, który rozwiązuje encje zewnętrzne. Pozwala to atakującemu odczytać dowolne pliki dostępne dla usługi openEQUELLA lub spowodować, że serwer wykona żądania do lokalizacji wskazanych przez atakującego (SSRF).
- CVE-2026-16889Średnie
W openEQUELLA przed wersją 2026.1 endpoint przesyłania obrazu powiadomienia przed logowaniem (PUT /api/preloginnotice/image/{name}) nie waliduje typu przesyłanych plików i serwuje je z Content-Type wynikającym z dostarczonej nazwy pliku. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może przesłać plik HTML, który jest następnie serwowany jako text/html z domeny openEQUELLA, co prowadzi do przechowywanego XSS; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.
- CVE-2026-66088Krytyczne
W openEQUELLA przed wersją 2026.1 funkcja system.execute() dostępna w silniku skryptów uruchamia dostarczone polecenia systemu operacyjnego bez walidacji ani listy dozwolonych programów. Użytkownik mogący tworzyć lub edytować skrypty może wykonać dowolne polecenia z uprawnieniami konta usługi openEQUELLA.
- CVE-2026-67615Wysokie
openEQUELLA przed wersją 2026.1.0 zawiera podatność na zdalne wykonanie kodu, która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na wykonanie dowolnego kodu poprzez wykorzystanie deserializacji Java w punkcie końcowym HTTP /invoker/*. Atakujący może ominąć listę zabronionych nazw klas, zagnieżdżając serializowany ładunek wewnątrz java.security.SignedObject.
- CVE-2026-94109Wysokie
openEQUELLA przed wersją 2026.1.0 zawiera uwierzytelnioną podatność na wstrzykiwanie szablonów po stronie serwera w funkcji FreemarkerPortletRenderer.renderHtml(), która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na osiągnięcie zdalnego wykonania kodu poprzez zapisanie złośliwego ładunku FreeMarker przez żądanie POST do punktu końcowego RemotePortletService invoker. Pole markup z zapisanej konfiguracji portletu jest przekazywane bezpośrednio do custFactory.createResult() bez ograniczenia TemplateClassResolver lub sandboxingu FreeMarker w BasicConfiguration, pozostawiając dostępne wbudowane funkcje takie jak ?new i freemarker.template.utility.Execute, co powoduje wykonanie ładunku w procesie serwera aplikacji, gdy dowolny użytkownik renderuje pulpit zawierający dotknięty portlet.
Oryginalny opis (angielski, źródło NVD)
In openEQUELLA before 2026.1, the GET /api/userquery/userinfobackup endpoint performs no authentication or authorisation check. An unauthenticated attacker who supplies another user's uniqueId can retrieve that user's stored personal details (username, first name, last name and email address) within the same institution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS