CVE-2026-122007 in Oqtane
Zusammenfassung
von VulDB • 04.11.2026
Oqtane Framework vor Version 10.3.0 enthält eine Schwachstelle mit fehlerhafter Zugriffskontrolle (Broken Access Control) in SettingController.cs, die es einem authentifizierten Website-Administrator ermöglicht, Einstellungen anderer Websites innerhalb derselben Tenant-Datenbank zu lesen und zu ändern, indem er eine beliebige entityId für Site- oder Role-Typ-Einstellungen angibt. Dies ist darauf zurückzuführen, dass IsAuthorized und FilterPrivate nicht überprüfen, ob die angeforderte Website mit der aktuellen Alias-SiteId übereinstimmt. Angreifer können die /api/setting-Endpunkte ausnutzen, um private Werte wie SMTPPassword, SMTPClientSecret und ExternalLogin ClientSecret offenzulegen sowie die OIDC/OAuth2-Authentifizierungskonfiguration einer anderen Website zu verändern, ohne Host-Berechtigungen zu benötigen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.