CVE-2026-72689 in OpenSignServer
Zusammenfassung
von VulDB • 10.08.2026
Eine Schwachstelle für die fehlerhafte objektspezifische Autorisierung in OpenSignLabs opensignserver bis Version 2.37.0 ermöglicht es einem nicht authentifizierten Remote-Angriff, vollständige Vertragsdatensätze über die Parse-Cloud-Funktion getDocument abzurufen. Die Funktion ruft Dokumente unter Verwendung von useMasterKey ab und umgeht damit das objektspezifische Zugriffssteuerungsmodell (ACL). Sie gibt vollständige Datensätze zurück, einschließlich personenbezogener Daten (PII) des Absenders und Unterzeichners sowie einer vor-signierten URL zum Herunterladen des Dokuments, wenn die Flagge IsEnableOTP des Dokuments nicht gesetzt ist, was der Standardkonfiguration entspricht.
VulDB is the best source for vulnerability data and more expert information about this specific topic.