CVE-2026-114515

OCO-Server; bilgisayar envanteri, yazılım dağıtımı ve mobil cihaz yönetimi için kullanılan self-hosted bir uç nokta yönetim uygulamasıdır. 1.2.3 sürümünden önce, iş konteynerleri oluşturma yetkisine sahip olan ve bir bilgisayar ile paket üzerinde okuma görünürlüğü bulunan geçerli bir Self-Service Portal kullanıcısı, söz konusu kaynaklar için dağıtım izni olmaksızın bir kaldırma işlemi kuyruğa alabilir. `self-service/ajax-handler/job-containers.php` adresine yapılan istekler, `uninstall_package_assignment_id[]` değerlerini `lib/SelfService/CoreLogic.class.php::uninstallSelfService()` fonksiyonuna iletir. Bu fonksiyonun yetki kontrol döngüsü, reddedilen `METHOD_DEPLOY` kontrollerinden sonra reddedilen kimlikleri `$installationIds` değişkeninden çıkarmadan devam eder ve ardından orijinal listeyi `lib/CoreLogic.class.php::uninstall()` fonksiyonuna aktarır. CoreLogic nesnesi null bir SystemUser ile yapılandırıldığından, `lib/CoreLogic.class.php::checkPermission()` fonksiyonu işlemi sistem bağlamında değerlendirerek koşulsuz olarak izin verir. Sayılabilir `computer_package.id` değerleri, diğer kullanıcıların bilgisayarlarındakiler de dahil olmak üzere okunabilir yüklü paket atamalarının seçilmesine olanak tanır. Buna karşılık `deploySelfService()` yükleme yolu, reddedilen dağıtım izninde işlemi durdurur ve okuma izni olmayan kaynaklar engellenmiş kalmaya devam eder. Bu durum, işlem yapan kullanıcının rolüne göre görünür olan kaynaklar genelinde yetkisiz yazılım kaldırma işlemlerine izin verir. Bu sorun 1.2.3 sürümünde düzeltilmiştir.