Podatności openDCIM
3 znanych podatności CVE w openDCIM, przetłumaczonych i ocenionych.
- CVE-2026-28517Krytyczne
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku report_network_map.php. Aplikacja pobiera parametr konfiguracyjny 'dot' z bazy danych i przekazuje go bezpośrednio do funkcji exec() bez walidacji lub sanityzacji.
- CVE-2026-28516Wysokie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto podatność na wstrzykiwanie SQL w funkcji Config::UpdateParameter. Procedury install.php i container-install.php przekazują dane wejściowe użytkownika bezpośrednio do zapytań SQL bez użycia przygotowanych wyrażeń ani odpowiedniej sanityzacji. Uwierzytelniony użytkownik może wykonać dowolne polecenia SQL na bazie danych.
- CVE-2026-28515Wysokie
W systemie openDCIM w wersji 23.04 (do commitu 4467e9c4) wykryto brak autoryzacji w plikach install.php i container-install.php. Instalator i procedura aktualizacji udostępniają funkcjonalność konfiguracji LDAP bez wymagania odpowiednich ról aplikacyjnych. Każdy uwierzytelniony użytkownik może uzyskać dostęp do tej funkcji, niezależnie od posiadanych uprawnień.