CVE-2026-67310 in OpenRemote
요약
\~에 의해 VulDB • 2026. 08. 01.
OpenRemote(org.openremote:openremote) 버전 <= 1.26.2는 AlarmResourceImpl의 setAssetLinks 엔드포인트에서 직접 객체 참조 취약점(Insecure Direct Object Reference, IDOR)을 포함하고 있습니다. realm 접근 검사는 요청으로부터 HashSet에 있는 모든 realms 대신 realms.stream().findFirst()를 통해 얻은 단일 realm만 검증합니다. HashSet의 반복 순서가 비결정적이기 때문에 인증된 공격자는 자신의 realm과 피해자 realm 모두에서 alarm-asset 링크를 포함하여 각 요청당 약 50%의 확률로(재시도 가능) 교차 테넌트 링크를 영구화하고, 공격자의 own alarm에 대한 GET 요청을 통해(@Formula 필드를 통해 반환되는) 피해자 자산 이름을 유출할 수 있습니다. 이 문제는 버전 1.27.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.