CVE-2026-66092

W openEQUELLA przed wersją 2026.1 endpoint GET /api/userquery/userinfobackup nie wykonuje żadnej kontroli uwierzytelnienia ani autoryzacji. Nieuwierzytelniony atakujący, podając uniqueId innego użytkownika, może pobrać jego zapisane dane osobowe (nazwę użytkownika, imię, nazwisko i adres e-mail) w obrębie tej samej instytucji.

W openEQUELLA przed wersją 2026.1 parser XML używany do metadanych elementów nie wyłącza rozwiązywania encji zewnętrznych. Użytkownik z uprawnieniem CREATE_ITEM może przesłać spreparowany XML do POST /api/item i spowodować odczyt dowolnych plików dostępnych dla usługi lub żądania do lokalizacji wskazanych przez atakującego (SSRF), w tym usług metadanych instancji chmurowych.

W openEQUELLA przed wersją 2026.1 API SOAP parsuje XML dostarczony w operacji stopEdit parserem, który rozwiązuje encje zewnętrzne. Pozwala to atakującemu odczytać dowolne pliki dostępne dla usługi openEQUELLA lub spowodować, że serwer wykona żądania do lokalizacji wskazanych przez atakującego (SSRF).

W openEQUELLA przed wersją 2026.1 endpoint przesyłania obrazu powiadomienia przed logowaniem (PUT /api/preloginnotice/image/{name}) nie waliduje typu przesyłanych plików i serwuje je z Content-Type wynikającym z dostarczonej nazwy pliku. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może przesłać plik HTML, który jest następnie serwowany jako text/html z domeny openEQUELLA, co prowadzi do przechowywanego XSS; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.

W openEQUELLA przed wersją 2026.1 funkcja system.execute() dostępna w silniku skryptów uruchamia dostarczone polecenia systemu operacyjnego bez walidacji ani listy dozwolonych programów. Użytkownik mogący tworzyć lub edytować skrypty może wykonać dowolne polecenia z uprawnieniami konta usługi openEQUELLA.

openEQUELLA przed wersją 2026.1.0 zawiera podatność na zdalne wykonanie kodu, która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na wykonanie dowolnego kodu poprzez wykorzystanie deserializacji Java w punkcie końcowym HTTP /invoker/*. Atakujący może ominąć listę zabronionych nazw klas, zagnieżdżając serializowany ładunek wewnątrz java.security.SignedObject.

openEQUELLA przed wersją 2026.1.0 zawiera uwierzytelnioną podatność na wstrzykiwanie szablonów po stronie serwera w funkcji FreemarkerPortletRenderer.renderHtml(), która pozwala każdemu uwierzytelnionemu użytkownikowi niebędącemu gościem na osiągnięcie zdalnego wykonania kodu poprzez zapisanie złośliwego ładunku FreeMarker przez żądanie POST do punktu końcowego RemotePortletService invoker. Pole markup z zapisanej konfiguracji portletu jest przekazywane bezpośrednio do custFactory.createResult() bez ograniczenia TemplateClassResolver lub sandboxingu FreeMarker w BasicConfiguration, pozostawiając dostępne wbudowane funkcje takie jak ?new i freemarker.template.utility.Execute, co powoduje wykonanie ładunku w procesie serwera aplikacji, gdy dowolny użytkownik renderuje pulpit zawierający dotknięty portlet.