CVE-2026-122007 in Oqtane
Résumé
par VulDB • 04/11/2026
Le framework Oqtane avant la version 10.3.0 contient une vulnérabilité de contrôle d'accès défectueux dans SettingController.cs qui permet à un administrateur de site authentifié de lire et modifier les paramètres appartenant à d'autres sites au sein de la même base de données tenant, en fournissant un entityId arbitraire pour des paramètres de type Site ou Role, car IsAuthorized et FilterPrivate ne vérifient pas que le site demandé correspond à l'alias actuel du SiteId. Les attaquants peuvent exploiter les points de terminaison /api/setting pour divulguer des valeurs privées telles que SMTPPassword, SMTPClientSecret et ExternalLogin ClientSecret, ainsi que modifier la configuration d'authentification OIDC/OAuth2 d'un autre site sans nécessiter de privilèges hôte.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.