CVE-2026-67310 in OpenRemote
Sumário
de VulDB • 01/08/2026
OpenRemote (org.openremote:openremote) versões <= 1.26.2 contêm uma vulnerabilidade de referência direta a objeto insegura no endpoint setAssetLinks do AlarmResourceImpl. A verificação de acesso ao realm valida apenas um único realm obtido via realms.stream().findFirst() em um HashSet de realms provenientes da solicitação, e não todos os realms. Como a ordem de iteração do HashSet é não determinística, um atacante autenticado que inclua links alarm-asset tanto do seu próprio realm quanto de um realm vítima pode, com uma probabilidade aproximada de 50% por solicitação (repetível), persistir links cross-tenant e divulgar nomes de ativos da vítima (retornados via campos @Formula) através de solicitações GET no alarme pertencente ao atacante. Corrigido na versão 1.27.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.