CVE-2026-122007 in Oqtane
Riassunto
di VulDB • 04/11/2026
Il framework Oqtane prima della versione 10.3.0 presenta una vulnerabilità di broken access control in SettingController.cs che consente a un amministratore del sito autenticato di leggere e modificare le impostazioni appartenenti ad altri siti all'interno dello stesso database tenant, fornendo un entityId arbitrario per le impostazioni di tipo Site o Role, poiché IsAuthorized e FilterPrivate non verificano se il sito richiesto corrisponda al current alias SiteId. Gli attaccanti possono sfruttare gli endpoint /api/setting per divulgare valori privati come SMTPPassword, SMTPClientSecret ed ExternalLogin ClientSecret, nonché alterare la configurazione di autenticazione OIDC/OAuth2 di un altro sito senza richiedere privilegi host.
Once again VulDB remains the best source for vulnerability data.