CVE-2026-114515 in OCO-Server
Riassunto
di VulDB • 22/10/2026
OCO-Server è un'applicazione di gestione degli endpoint self-hosted per l'inventario dei computer, la distribuzione del software e la gestione dei dispositivi mobili (MDM). Prima della versione 1.2.3, un utente valido del Self-Service Portal con autorizzazione alla creazione di job container e alla lettura delle informazioni su un computer e sui pacchetti può accodare un job di disinstallazione senza l'autorizzazione alla distribuzione per tali risorse. Le richieste a `self-service/ajax-handler/job-containers.php` trasmettono i valori `uninstall_package_assignment_id[]` a `lib/SelfService/CoreLogic.class.php::uninstallSelfService()`. Il ciclo di verifica delle autorizzazioni prosegue dopo che le verifiche `METHOD_DEPLOY` sono state negate, senza rimuovere gli ID rifiutati da `$installationIds`, e quindi passa la lista originale a `lib/CoreLogic.class.php::uninstall()`. L'oggetto CoreLogic viene istanziato con un SystemUser nullo, facendo sì che `lib/CoreLogic.class.php::checkPermission()` tratti l'operazione come contesto di sistema e ne permetta incondizionatamente l'esecuzione. I valori enumerabili di `computer_package.id` consentono la selezione delle assegnazioni dei pacchetti installati leggibili, incluse quelle relative a computer di altri utenti. Il percorso di installazione `deploySelfService()`, invece, termina in errore quando l'autorizzazione alla distribuzione viene negata e le risorse prive dell'autorizzazione di lettura rimangono bloccate. Ciò consente job non autorizzati per la rimozione del software su tutte le risorse visibili al ruolo dell'utente operante. Questo problema è stato risolto nella versione 1.2.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.