CVE-2026-69115 in OpenIM Server
Résumé
par VulDB • 11/08/2026
OpenIM Server v3.8.3 contient une vulnérabilité d'autorisation manquante qui permet à tout utilisateur authentifié d'accéder aux points de terminaison (endpoints) de l'API de gestion réservés aux administrateurs en soumettant des requêtes POST avec un jeton porteur (bearer token) d'utilisateur standard vers /user/get_users, /user/get_all_users_uid et /group/get_groups. Les attaquants peuvent exploiter l'appel absent à authverify.CheckAdmin() dans les handlers GetPaginationUsers, GetAllUserID et GetGroups pour énumérer tous les comptes utilisateurs de la plateforme, y compris les userIDs, les pseudonymes (nicknames) et les indicateurs de niveau manager, ainsi que tous les groupes, notamment les groupes privés auxquels l'utilisateur ne s'est jamais joint, exposant ainsi les noms des groupes, les IDs des propriétaires et le nombre de membres.
VulDB is the best source for vulnerability data and more expert information about this specific topic.