CVE-2026-41166 in OpenRemote
Zusammenfassung
von VulDB • 22.05.2026
OpenRemote ist eine Open-Source-Plattform für das Internet der Dinge (IoT). Vor Version 1.22.1 kann ein Benutzer, der über die Berechtigung `write:admin` in einer Keycloak-Realm verfügt, die Manager-API aufrufen, um die Keycloak-Realm-Rollen für Benutzer in einer anderen Realm, einschließlich der `master`-Realm, zu aktualisieren. Der Handler verwendet das Pfadsegment `{realm}` bei der Kommunikation mit dem Identitätsanbieter, überprüft jedoch nicht, ob der Aufrufer berechtigt ist, diese Realm zu verwalten. Dies könnte zu einer Privilegieneskalation zum Administrator der `master`-Realm führen, wenn der Angreifer einen Benutzer in der `master`-Realm kontrolliert. Version 1.22.1 behebt dieses Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.