CVE-2026-33266
Apache OpenMeetings: Fest codierter Verschlüsselungsschlüssel und Salt für Remember-Me-Cookies
- Veröffentlicht
- 09.04.2026
- Aktualisiert
- 10.04.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 17.10.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NNiedrig · nächste 30 Tage
- Perzentil
- 26,5 %
- Modelldatum
- 17.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Verwendung eines fest codierten kryptografischen Schlüssels als Schwachstelle in Apache OpenMeetings. Der Verschlüsselungsschlüssel für das Remember-Me-Cookie ist in openmeetings.properties auf den Standardwert gesetzt und wird nicht automatisch rotiert. Falls der OM-Administrator den Standardverschlüsselungsschlüssel nicht geändert hat, kann ein Angreifer, der ein Cookie von einem angemeldeten Benutzer gestohlen hat, vollständige Benutzeranmeldedaten erlangen. Dieses Problem betrifft Apache OpenMeetings: von 6.1.0 bis vor 9.0.0. Benutzern wird empfohlen, auf Version 9.0.0 zu aktualisieren, die das Problem behebt.
Quellen
Apache OpenMeetings 9.1.0 – Hoch – Remote – ATO – Remember-Me-Cookie-Replay authentifiziert ohne Passwort
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.