CVE-2026-69115
Açıklama
OpenIM Server v3.8.3, herhangi bir kimliği doğrulanmış kullanıcının /user/get_users, /user/get_all_users_uid ve /group/get_groups uç noktalarına normal kullanıcı bearer token'ı ile POST istekleri göndererek yalnızca yöneticilere ait yönetim API uç noktalarına erişmesine olanak tanıyan bir yetkilendirme eksikliği güvenlik açığı içerir. Saldırganlar, GetPaginationUsers, GetAllUserID ve GetGroups işleyicilerindeki eksik authverify.CheckAdmin() çağrısını istismar ederek userID'ler, takma adlar ve yönetici düzeyi bayrakları dahil tüm platform kullanıcı hesaplarını ve ayrıca kullanıcının hiç katılmadığı özel gruplar dahil tüm grupları numaralandırabilir; grup adları, sahip ID'leri ve üye sayıları açığa çıkar.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| OpenIMSDK OpenIM Server (open-im-server) | v ≤ 3.8.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.