CVE-2026-114515

OCO-Server kompüter inventarizasiyası, proqram təminatının tətbiqi və mobil cihazların idarə edilməsi üçün özünə məxsus (self-hosted) son nöqtə idarəetmə tətbiqidir. Versiya 1.2.3-dən əvvəl, iş konteynerləri yaratmaq icazəsi olan və kompüterlər ilə paketlərə baxış hüququna malik valid Self-Service Portal istifadəçisi həmin resurslar üçün tətbiq etmə (deploy) icazəsi olmadan silmə tapşırığını növbəyə ala bilər. `self-service/ajax-handler/job-containers.php` ünvanına göndərilən sorğular `uninstall_package_assignment_id[]` dəyərlərini `lib/SelfService/CoreLogic.class.php::uninstallSelfService()` funksiyasına ötürür. İcazələrin yoxlanılması dövrü, rədd edilmiş `METHOD_DEPLOY` yoxlamalarından sonra `$installationIds` siyahısından rədd edilən ID-ləri çıxarmadan davam edir və orijinal siyahını `lib/CoreLogic.class.php::uninstall()` funksiyasına ötürür. CoreLogic obyekti null SystemUser ilə qurulduğu üçün `lib/CoreLogic.class.php::checkPermission()` funksiyası bu əməliyyatı sistem konteksti kimi qəbul edir və ona şərtsiz icazə verir. Sayıla bilən `computer_package.id` dəyərləri digər istifadəçilərin kompüterləri də daxil olmaqla, oxuna bilən quraşdırılmış paket təyinatlarının seçilməsinə imkan verir. Bunun əvəzinə, `deploySelfService()` quraşdırma yolu rədd edilmiş tətbiq icazəsi zamanı prosesi dayandırır və oxuma icazəsi olmayan resurslar bloklu qalır. Bu, fəaliyyət göstərən istifadəçinin rolu üçün görünən resurslarda icazəsiz proqram təminatının silinməsi tapşırıqlarına yol açır. Bu problem versiya 1.2.3-də düzəldilmişdir.