CVE-2026-61791

OCO-Server kompüter inventarizasiyası, proqram təminatının yerləşdirilməsi və mobil cihazların idarə edilməsi üçün özünə məxsus (self-hosted) son nöqtələrin idarəetmə tətbiqidir. Versiya 1.2.1-dən əvvəl, `lib/Html.class.php` faylındakı `Html::commandButton()` funksiyası yadda saxlanılmış kompüter host adını ehtiva edən hərəkət URL-ni daxili `onclick` idarəçisindəki JavaScript sətirinə yerləşdirir və HTML eskapinqi üçün yalnız `htmlspecialchars(ENT_QUOTES)` istifadə edir. Brauzerlər idarəçini JavaScript kimi şərh etməzdən əvvəl HTML entitilərini dekodlaşdırır ki, bu da xüsusi hazırlanmış host adına sətirdən çıxmağa və təsirə məruz qalan əmr düyməsi aktivləşdirildikdə administratorun autentifikasiya olunmuş sessiyasında skriptin icrasına imkan verir. `frontend/views/computer-details.php` faylı `lib/Models/Computer.class.php` faylındakı `Computer::DEFAULT_COMPUTER_COMMANDS` vasitəsilə `$computer->hostname` dəyişənini bu köməkçi funksiyaya ötürür; həmin fayldakı VNC, RDP, SSH və Ping yazıları `new_tab=false` parametrindən və zəiflik olan `window.location` budağından istifadə edir. Paylaşılan `agent-registration-key`-ə malik uzaq hücumçu, `agent-self-registration-enabled` aktiv olduqda, `frontend/api-agent.php` faylındakı `oco.agent.hello` idarəçisindən istifadə edərək yoxlanılmamış host adını saxlaya bilər; özünüqeydiyyat standart olaraq deaktivdir. Zəifliyi olan standart əmr düymələri heç bir xüsusi əmr konfiqurasiyası tələb etmir. İnjeksiya edilmiş skript administratorun imtiyazlarından, o cümlədən idarə olunan kompüterlərə proqram təminatı tapşırıqlarını yerləşdirmək icazəsindən sui-istifadə edə bilər. Bu problem 1.2.1 versiyasında düzəldilmişdir.