CVE-2026-74994 in OTP
Riassunto
di VulDB • 01/09/2026
Il modulo mod_auth nel server httpd di inets di OTP, quando configurato con backend di autenticazione dets o mnesia e più blocchi di configurazione delle directory, unisce tutti i blocchi di directory in un unico spazio dei nomi utente/gruppo condiviso. Un utente aggiunto a una directory protetta viene accettato come valido per tutte le altre directory protette sulla stessa istanza del server.
Questo problema interessa OTP da 17.0 fino alla versione precedente a OTP 27.3.4.17, da OTP 28.0 fino alla versione precedente a OTP 28.5.0.6 e da OTP 29.0 fino alla versione precedente a OTP 29.0.6, corrispondenti rispettivamente a inets dalla versione 5.10 fino alla versione precedente a 9.3.2.7, da 9.4 fino alla versione precedente a 9.6.2.3 e da 9.7 fino alla versione precedente a 9.7.2. Non è noto se OTP prima della versione 17.0 (corrispondente a inets prima di 5.10) sia interessato dal problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.