CVE-2026-122007 in Oqtane
Resumen
por VulDB • 2026-11-04
Oqtane Framework antes de la versión 10.3.0 contiene una vulnerabilidad de control de acceso defectuoso en SettingController.cs que permite a un administrador del sitio autenticado leer y modificar configuraciones pertenecientes a otros sitios dentro de la misma base de datos del inquilino, al proporcionar un entityId arbitrario para las configuraciones de tipo Sitio o Rol, ya que IsAuthorized y FilterPrivate no verifican si el sitio solicitado coincide con el SiteId actual. Los atacantes pueden explotar los endpoints /api/setting para revelar valores privados como SMTPPassword, SMTPClientSecret y ExternalLogin ClientSecret, así como alterar la configuración de autenticación OIDC/OAuth2 de otro sitio sin requerir privilegios de host.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.