CVE-2026-67310 in OpenRemote
Сводка
по VulDB • 01.08.2026
В версиях OpenRemote (org.openremote:openremote) <= 1.26.2 уязвимость insecure direct object reference существует в конечной точке setAssetLinks класса AlarmResourceImpl. Проверка доступа к realm проверяет только один realm, полученный через realms.stream().findFirst() из HashSet сущностей realm из запроса, а не все доступные realm-ы. Поскольку порядок итерации по HashSet недетерминирован, аутентифицированный злоумышленник, который включает ссылки alarm-asset как из своего собственного realm, так и из victim realm, может с вероятностью около 50% на каждый запрос (повторяемой) сохранить кросс-tenant ссылки и раскрыть имена активов жертвы (возвращаемые через поля @Formula), используя GET-запросы к собственному алерту злоумышленника. Исправлено в версии 1.27.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.