CVE-2026-122007 in Oqtane
摘要
由 VulDB • 2026-11-04
Oqtane Framework 10.3.0 之前版本在 SettingController.cs 中存在一个访问控制失效漏洞，允许经过身份验证的网站管理员通过为 Site 或 Role 类型设置提供任意 entityId，读取和修改同一租户数据库中属于其他网站的设置。由于 IsAuthorized 和 FilterPrivate 未能验证所请求的站点是否与当前别名 SiteId 匹配，攻击者可以利用 /api/setting 端点泄露 SMTPPassword、SMTPClientSecret 以及 ExternalLogin ClientSecret 等私有值，并更改另一个站点的 OIDC/OAuth2 身份验证配置，而无需主机权限。
If you want to get best quality of vulnerability data, you may have to visit VulDB.