CVE-2026-122007 in Oqtane
الملخص
بحسب VulDB • 04/11/2026
يحتوي إطار عمل Oqtane قبل الإصدار 10.3.0 على ثغرة في التحكم بالوصول (Broken Access Control) موجودة في ملف SettingController.cs، تتيح لمدير موقع مُصادق عليه قراءة وتعديل الإعدادات الخاصة بمواقع أخرى ضمن قاعدة بيانات المستأجر نفسه عن طريق توفير معرف كيان عشوائي (entityId) لإعدادات نوع الموقع أو الدور. وذلك لأن دالتي IsAuthorized و FilterPrivate تفشلان في التحقق من تطابق الموقع المطلوب مع SiteId الخاص بالموقع الحالي. يمكن للمهاجمين استغلال نقاط النهاية /api/setting لكشف قيم خاصة مثل SMTPPassword، وSMTPClientSecret، وExternalLogin ClientSecret، وكذلك لتغيير تكوين المصادقة OIDC/OAuth2 لموقع آخر دون الحاجة إلى امتيازات المضيف (host privileges).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.