CVE-2026-33266
Apache OpenMeetings: clave de cifrado y salt de cookie remember-me codificados de forma rígida
- Publicado
- 9 abr 2026
- Actualizado
- 10 abr 2026
- Asignación de CNA
- apache
- Evidencia observada
- 17 oct 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NBajo · próximos 30 días
- Percentil
- 26,5 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Vulnerabilidad por uso de clave criptográfica codificada de forma rígida en Apache OpenMeetings. La clave de cifrado de la cookie remember-me está establecida en un valor predeterminado en openmeetings.properties y no se rota automáticamente. En caso de que el administrador de OM no haya cambiado la clave de cifrado predeterminada, un atacante que haya robado una cookie de un usuario con sesión iniciada puede obtener las credenciales completas del usuario. Este problema afecta a Apache OpenMeetings: desde 6.1.0 hasta antes de 9.0.0. Se recomienda a los usuarios actualizar a la versión 9.0.0, que corrige el problema.
Fuentes
Apache OpenMeetings 9.1.0 - Alta - Remota - ATO - la repetición de la cookie remember-me autentica sin contraseña
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.