CVE-2026-67310
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
OpenRemote (org.openremote:openremote) w wersjach do 1.26.2 zawiera podatność na bezpośrednie odwołanie do niebezpiecznego obiektu (IDOR) w punkcie końcowym setAssetLinks w AlarmResourceImpl. Sprawdzanie dostępu do domeny (realm) waliduje tylko pojedynczą domenę uzyskaną przez realms.stream().findFirst() na HashSet domen z żądania, zamiast wszystkich domen. Ze względu na niedeterministyczną kolejność iteracji HashSet, uwierzytelniony atakujący może z około 50% prawdopodobieństwem na żądanie (z możliwością ponowienia) utrwalić linki między domenami i ujawnić nazwy zasobów ofiary.
Ocena ryzyka
Atakujący może uzyskać dostęp do nazw zasobów ofiary w innej domenie, co narusza izolację między dzierżawcami (multi-tenant) i może prowadzić do wycieku wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację OpenRemote do wersji 1.27.0 lub nowszej, która zawiera poprawkę.
Inne podatności w OpenRemote
Zobacz wszystkie- CVE-2026-73616Średnie
Punkty końcowe usuwania powiadomień w OpenRemote nie egzekwują granic domen (realm), co pozwala każdemu administratorowi domeny na usuwanie powiadomień należących do innych domen. Atakujący z rolą write:admin w jednej domenie mogą wysyłać żądania DELETE, aby usuwać powiadomienia z domeny głównej lub innych dzierżawców bez kontroli autoryzacji.
- CVE-2026-66013Krytyczne
OpenRemote przed wersją 1.26.2 zawiera podatność na ominięcie uwierzytelniania w API rejestracji konsoli, co pozwala nieuwierzytelnionym atakującym na aktualizację istniejących zasobów konsoli poprzez podanie znanego identyfikatora zasobu.
- CVE-2026-81679Wysokie
OpenRemote przed wersją 1.28.0 zawiera podatność na ujawnienie informacji między domenami w API REST powiadomień. Administratorzy dzierżawy mogą odczytać wysłane powiadomienia wszystkich dzierżaw, w tym treści wiadomości, wysyłając żądanie GET bez parametrów do punktu końcowego powiadomień.
- CVE-2026-65009Średnie
Podatność w OpenRemote przed wersją 1.26.2. Endpoint REST SyslogResource (`GET /api/{realm}/syslog/event`) nie filtruje logów operacyjnych według realm, co pozwala atakującym z rolą `read:rules` na odczyt logów ze wszystkich tenantów, w tym ID assetów, szczegółów połączeń agentów, nazw reguł i błędów protokołów.
- CVE-2026-62238Wysokie
OpenRemote przed wersją 1.26.0 zawiera uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym eksportu tabeli przestawnej datapoint. Podatność ta wynika z konkatenacji nazw wyświetlanych zasobów bezpośrednio w zapytaniach PostgreSQL, co umożliwia atakującemu z uprawnieniami do tworzenia lub zmiany nazw zasobów wstrzyknięcie złośliwego kodu SQL.
- CVE-2026-56784Wysokie
Podatność IDOR w OpenRemote przed wersją 1.25.0 umożliwia uwierzytelnionym użytkownikom trwałe usuwanie alarmów należących do innych dzierżawców poprzez podanie dowolnych identyfikatorów alarmów. Metoda removeAlarms() w AlarmResourceImpl.java pomija walidację zakresu dzierżawy w zapytaniu JPA.
Oryginalny opis (angielski, źródło NVD)
OpenRemote (org.openremote:openremote) versions <= 1.26.2 contain an insecure direct object reference vulnerability in the setAssetLinks endpoint of AlarmResourceImpl. The realm access check validates only a single realm obtained via realms.stream().findFirst() on a HashSet of realms from the request, rather than all realms. Because HashSet iteration order is non-deterministic, an authenticated attacker who includes alarm-asset links from both their own realm and a victim realm can, with roughly 50% probability per request (retryable), persist cross-tenant links and disclose victim asset names (returned via @Formula fields) through GET requests on the attacker's own alarm. Fixed in 1.27.0.