openmeetings-remember-me-password

الفئة: الاستيلاء على الحساب (ATO) الوصول: عن بُعد

Apache OpenMeetings 9.1.0. أغلق CVE-2026-33266 مفتاح "تذكّرني" المضمَّن في الشيفرة (AES-GCM لكل نسخة). لا يزال ملف تعريف الارتباط LoggedIn يحمل اسم المستخدم وكلمة المرور. مربع اختيار اختياري credentials:rememberMe، معطّل افتراضيًا. عميل جديد يملك ملف تعريف الارتباط هذا فقط يصبح هو المستخدم. دون كلمة مرور. دون JSESSIONID.


المعرّف	لا يوجد CVE بعد
الفئة	ATO
الوصول	عن بُعد (ملف تعريف ارتباط "تذكّرني" مسروق)
CWE	CWE-522، CWE-287
CVSS	عالٍ: 8.1 `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N`
المنتج	Apache OpenMeetings 9.1.0
المصادقة	ملف تعريف ارتباط "تذكّرني" اختياري
الترخيص	GNU Affero GPL v3.0
المختبر	`127.0.0.1:18158` فقط

ما يمكن للمهاجم فعله

الطريقة	الهدف	الصلاحية
إعادة تشغيل `Cookie: LoggedIn`	فك تشفير "تذكّرني" + `signIn`	السلامة (مُثبتة مختبريًا): الصفحة الرئيسية الموثَّقة دون كلمة مرور. التحكم دون ملف تعريف الارتباط يبقى على صفحة تسجيل الدخول.
فك التشفير دون اتصال باستخدام `remember.me.key`	حمولة AES-GCM	الاستطلاع (مُستنتج): بايتات اسم المستخدم وكلمة المرور. أصاب هذا المختبر خطأ `InvalidTag` عند فك تشفير يدوي؛ ومع ذلك نجحت إعادة التشغيل.

مغلق: المفتاح المضمَّن في الشيفرة (CVE-2026-33266). مربع الاختيار معطّل افتراضيًا.

المختبر

cd lab
./run.sh

السطر الأخير: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS

الإصلاح المقترح: خزّن رمزًا متغيّرًا، لا كلمة المرور. امسح LoggedIn عند تسجيل الخروج. علّم ملف تعريف الارتباط بـ Secure. تجاوز "تذكّرني" عند تسجيل OTP.

التواصل

Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]

المورّد: [email protected]

openmeetings-remember-me-password

الأكثر شعبية

openmeetings-remember-me-password

ما يمكن للمهاجم فعله

المختبر

التواصل