Apache OpenMeetings 9.1.0 - Alta - Remota - IDOR - WHITEBOARD fileId plant then room file resource serves bytes
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-wb-fileid-idor
Clase: IDOR Alcance: Remoto
Apache OpenMeetings 9.1.0. WHITEBOARD/PRESENTER CREATE_OBJ almacena el JSON del cliente, incluido cualquier fileId. RoomResourceReference luego sirve esos bytes si isAtWb ve ese id. CVE-2026-49488 cerró la lectura de rutas del sistema operativo mediante fuid del moderador. Este remanente es un id de archivo numérico en la pizarra.
Salas públicas no moderadas por defecto: el primero en unirse es el presentador.
| ID | aún sin CVE |
| Clase | IDOR |
| Alcance | Remoto (presentador de la sala) |
| CWE | CWE-639 |
| CVSS | Alto: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| Producto | Apache OpenMeetings 9.1.0 |
| Autenticación | ROOM, primer participante de una sala pública no moderada |
| Licencia | GNU Affero GPL v3.0 |
| Laboratorio | solo 127.0.0.1:18154 |
| Método | Destino | Privilegio |
|---|---|---|
WS de sala CREATE_OBJ con el fileId de la víctima y luego GET /room/file/{id} | WbPanel.doActionWhiteboard + RoomResourceReference.getFileItem | Reconocimiento (probado en laboratorio): bytes del FileItem de otro usuario. Laboratorio: PNG de 57 bytes, testigo en el cuerpo, HTTP 200 image/png. |
Cerrado: ruta del sistema operativo en validateLocation de CVE-2026-49488. DOWNLOAD sigue siendo solo para moderadores. Los archivos de grupo siguen requiriendo pertenencia al grupo si no están en la pizarra (WB).
cd lab
./run.sh
Última línea: SUCCESS OPENMEETINGS-WB-FILEID-WITNESS
Corrección sugerida: CREATE_OBJ debe rechazar un fileId que el llamador no pueda leer. isAtWb no es una ACL.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Proveedor: [email protected]