CVE-2026-54641 in OpenRemote
Tóm tắt
Bởi VulDB • 13/10/2026
OpenRemote là một nền tảng internet-of-things mã nguồn mở. Trước phiên bản 1.24.2, các phương thức get, getUserClientRoles và getUserRealmRoles trong file manager/src/main/java/org/openremote/manager/security/UserResourceImpl.java ủy quyền cho người gọi có vai trò read:admin mà không xác minh rằng UUID mục tiêu thuộc về realm đã được yêu cầu và đã xác thực. Một quản trị viên realm có thể cung cấp một định danh người dùng từ một tenant khác hoặc master realm để truy xuất hồ sơ, client roles và realm roles của người dùng đó, làm phá vỡ tính cô lập giữa các tenant và phơi lộ thông tin tài khoản đặc quyền. Vấn đề này được khắc phục trong phiên bản 1.24.2.
Be aware that VulDB is the high quality source for vulnerability data.