CVE-2026-41166
Təsvir
OpenRemote açıq mənbəli əşyaların interneti (IoT) platformasıdır. Versiya 1.22.1-dən əvvəl, bir Keycloak realm-ində `write:admin` hüququna malik olan istifadəçi, digər realm-lərdəki (o cümlədən `master`) istifadəçilər üçün Keycloak realm rollarını yeniləmək məqsədilə Manager API-ni çağıra bilər. Handler, kimlik təminatçısı ilə əlaqə qurarkən `{realm}` yol seqmentindən istifadə edir, lakin çağırış edənin həmin realm-i idarə etmək səlahiyyətinin olub-olmadığını yoxlamır. Əgər hücumçu `master` realm-ində hər hansı bir istifadəçini idarə edirsə, bu, `master` realm administratoruna qədər imtiyazların yüksəldilməsi ilə nəticələnə bilər. Versiya 1.22.1 bu problemi aradan qaldırır.
Necə düzəltmək olar
- openremote openremote1.22.1 və ya daha yeni versiya
- io.openremote:openremote-manager1.22.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openremote openremote | v < 1.22.1 | 1.22.1 |
| io.openremote:openremote-managerMaven | v < 1.22.1 | 1.22.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.