CVE-2026-81679
WysokieCVSS 7.7Streszczenie
OpenRemote przed wersją 1.28.0 zawiera podatność na ujawnienie informacji między domenami w API REST powiadomień. Administratorzy dzierżawy mogą odczytać wysłane powiadomienia wszystkich dzierżaw, w tym treści wiadomości, wysyłając żądanie GET bez parametrów do punktu końcowego powiadomień.
Ocena ryzyka
Ujawnienie treści powiadomień wszystkich dzierżaw może naruszyć poufność danych i umożliwić nieautoryzowany dostęp do wrażliwych informacji.
Rekomendacja
Zaktualizuj OpenRemote do wersji 1.28.0 lub nowszej, która naprawia tę podatność.
Oryginalny opis (angielski, źródło NVD)
OpenRemote versions before 1.28.0 contain a cross-realm information disclosure vulnerability in the Notification REST API that allows per-realm tenant administrators to read all tenants' sent notifications including message bodies. Attackers with read:admin credentials in one realm can submit a zero-parameter GET request to the notification endpoint to retrieve sensitive notification metadata and message content from all realms.