Apache OpenMeetings 9.1.0 – Hoch – Remote – IDOR – WHITEBOARD fileId plant dann liefert die Raumdateiressource Bytes aus
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-wb-fileid-idor
Klasse: IDOR Reichweite: Remote
Apache OpenMeetings 9.1.0. WHITEBOARD/PRESENTER CREATE_OBJ speichert Client-JSON einschließlich beliebiger fileId. RoomResourceReference liefert dann diese Bytes aus, wenn isAtWb diese ID sieht. CVE-2026-49488 schloss das Lesen von OS-Pfaden über Moderator-fuid. Dieser Rest ist eine numerische Datei-ID auf dem Whiteboard.
Standardmäßig öffentliche, unmoderierte Räume: Der erste Beitretende ist Präsentator.
| ID | noch keine CVE |
| Klasse | IDOR |
| Reichweite | Remote (Raum-Präsentator) |
| CWE | CWE-639 |
| CVSS | Hoch: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| Produkt | Apache OpenMeetings 9.1.0 |
| Auth | ROOM, erster Beitretender eines unmoderierten öffentlichen Raums |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | nur 127.0.0.1:18154 |
| Methode | Sink | Berechtigung |
|---|---|---|
Raum-WS CREATE_OBJ mit fileId des Opfers, dann GET /room/file/{id} | WbPanel.doActionWhiteboard + RoomResourceReference.getFileItem | Recon (im Lab nachgewiesen): Bytes des FileItem eines anderen Benutzers. Lab: PNG 57 Bytes, Zeuge im Body, HTTP 200 image/png. |
Geschlossen: CVE-2026-49488 validateLocation OS-Pfad. DOWNLOAD ist weiterhin nur für Moderatoren. Gruppendateien erfordern weiterhin Gruppenmitgliedschaft, wenn sie nicht auf dem WB sind.
cd lab
./run.sh
Letzte Zeile: SUCCESS OPENMEETINGS-WB-FILEID-WITNESS
Vorgeschlagene Korrektur: CREATE_OBJ muss eine fileId ablehnen, die der Aufrufer nicht lesen darf. isAtWb ist keine ACL.
Abraxas Labs – https://abraxaslabs.tech – https://github.com/abraxas – https://x.com/abraxas_null – [email protected]
Anbieter: [email protected]