CVE-2026-73616
ŚrednieCVSS 6.5Streszczenie
Punkty końcowe usuwania powiadomień w OpenRemote nie egzekwują granic domen (realm), co pozwala każdemu administratorowi domeny na usuwanie powiadomień należących do innych domen. Atakujący z rolą write:admin w jednej domenie mogą wysyłać żądania DELETE, aby usuwać powiadomienia z domeny głównej lub innych dzierżawców bez kontroli autoryzacji.
Ocena ryzyka
Administrator jednej domeny może zakłócać działanie innych dzierżawców, usuwając ich powiadomienia, co może prowadzić do utraty ważnych informacji i naruszenia integralności danych.
Rekomendacja
Zaleca się wdrożenie poprawek od producenta OpenRemote, które egzekwują granice domen w punktach końcowych usuwania powiadomień, oraz ograniczenie dostępu do tych funkcji.
Oryginalny opis (angielski, źródło NVD)
OpenRemote notification deletion endpoints fail to enforce realm boundaries, allowing any realm administrator to delete notifications belonging to other realms. Attackers with write:admin role in one realm can send DELETE requests to remove notifications from the master realm or other tenants without authorization checks.