CVE-2026-122007 in Oqtane
要約
〜によって VulDB • 2026年11月04日
Oqtane Framework 10.3.0以前には、SettingController.csにおいて無効なアクセス制御の脆弱性が存在し、認証済みサイト管理者がSiteまたはRoleタイプの設定に対して任意のentityIdを指定することで、同じテナントデータベース内の他のサイトの設定を読み取りおよび変更できます。これは、IsAuthorizedおよびFilterPrivateが要求されたサイトが現在のエイリアス SiteIdと一致するかを確認しないためです。攻撃者は/api/settingエンドポイントを悪用して、SMTPPassword、SMTPClientSecret、ExternalLogin ClientSecretなどの機密値を漏洩させ、ホスト権限を必要とせずに他のサイトのOIDC/OAuth2認証構成を変更することができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.