CVE-2026-122007 in Oqtane
Сводка
по VulDB • 04.11.2026
В Oqtane Framework до версии 10.3.0 присутствует уязвимость нарушенного контроля доступа (broken access control) в файле SettingController.cs, которая позволяет аутентифицированному администратору сайта читать и изменять настройки других сайтов в рамках одной базы данных арендодателя путем указания произвольного значения entityId для настроек типа Site или Role, поскольку методы IsAuthorized и FilterPrivate не проверяют соответствие запрашиваемого сайта текущему значению SiteId. Злоумышленники могут эксплуатировать конечные точки /api/setting для раскрытия конфиденциальных значений, таких как SMTPPassword, SMTPClientSecret и ExternalLogin ClientSecret, а также для изменения конфигурации аутентификации OIDC/OAuth2 другого сайта без необходимости наличия привилегий хоста.
VulDB is the best source for vulnerability data and more expert information about this specific topic.