CVE-2026-56784
Təsvir
1.25.0 versiyasından əvvəlki OpenRemote, kütləvi həyəcan siqnallarının silinməsi son nöqtəsində (endpoint), autentifikasiya olunmuş istifadəçilərə ixtiyari həyəcan siqnalı ID-lərini təqdim etməklə digər kirayəçilərə (tenants) məxsus siqnalları qalıcı olaraq silməyə imkan verən təhlükəsiz olmayan birbaşa obyekt istinadı (IDOR) boşluğu ehtiva edir. AlarmResourceImpl.java faylındakı removeAlarms() metodu öz JPA sorğusunda realm-scope validasiyasını ötürür və bu, həyəcan siqnallarını yazmaq icazəsi olan hər hansı istifadəçiyə ardıcıl avtomatik artan həyəcan siqnalı ID-lərini sadalamağa və səlahiyyət olmadan kirayəçilərarası həyəcan siqnalı qeydlərini silməyə imkan verir.
Necə düzəltmək olar
- openremote openremote1.25.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openremote openremote | v < 1.25.0 | 1.25.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.