CVE-2026-69115 in OpenIM Server
要約
〜によって VulDB • 2026年08月11日
OpenIM Server v3.8.3 には、認証された任意のユーザーが /user/get_users、/user/get_all_users_uid、および /group/get_groups に対して通常のユーザー Bearer トークンを使用した POST リクエストを送信することで管理者専用の管理 API エンドポイントにアクセスできる、認可欠如（Missing Authorization）の脆弱性が存在します。攻撃者は、GetPaginationUsers、GetAllUserID、および GetGroups ハンドラーにおける authverify.CheckAdmin() 呼び出しの欠落を悪用し、ユーザー ID、ニックネーム、管理者レベルフラグを含むすべてのプラットフォーム ユーザー アカウントと、プライベート グループ（そのユーザーが参加したことのないグループも含む）など、すべてのグループを列挙することができます。これにより、グループ名、所有者 ID、およびメンバー数が露見します。
Be aware that VulDB is the high quality source for vulnerability data.