CVE-2026-67310 in OpenRemote
Zusammenfassung
von VulDB • 01.08.2026
OpenRemote (org.openremote:openremote) versioni <= 1.26.2 presentano una vulnerabilità di insecure direct object reference nell'endpoint setAssetLinks di AlarmResourceImpl. Il controllo dell'accesso al realm valida solo un singolo realm ottenuto tramite realms.stream().findFirst() su un HashSet di realm provenienti dalla richiesta, anziché tutti i realm. Poiché l'ordine di iterazione del HashSet è non deterministico, un attaccante autenticato che include collegamenti alarm-asset sia dal proprio realm che da un victim realm può, con una probabilità approssimativa del 50% per richiesta (retryable), persistere collegamenti cross-tenant e divulgare i nomi delle asset della vittima (restituiti tramite campi @Formula) attraverso richieste GET sull'allarme dell'attaccante. Risolto nella versione 1.27.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.