Apache OpenMeetings 9.1.0 - Élevé - À distance - IDOR - WHITEBOARD fileId plant then room file resource serves bytes
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-wb-fileid-idor
Classe : IDOR Portée : Distante
Apache OpenMeetings 9.1.0. CREATE_OBJ de WHITEBOARD/PRESENTER stocke le JSON du client, y compris n'importe quel fileId. RoomResourceReference sert ensuite ces octets si isAtWb voit cet identifiant. CVE-2026-49488 a fermé la lecture de chemin OS fuid du modérateur. Ce qui reste est un identifiant de fichier numérique sur le tableau blanc.
Salles publiques non modérées par défaut : le premier arrivé est présentateur.
| ID | pas encore de CVE |
| Classe | IDOR |
| Portée | Distante (présentateur de salle) |
| CWE | CWE-639 |
| CVSS | Élevé : 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| Produit | Apache OpenMeetings 9.1.0 |
| Auth | ROOM, premier arrivé d'une salle publique non modérée |
| Licence | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1:18154 uniquement |
| Méthode | Point de chute | Privilège |
|---|---|---|
WS de salle CREATE_OBJ avec le fileId de la victime puis GET /room/file/{id} | WbPanel.doActionWhiteboard + RoomResourceReference.getFileItem | Reconnaissance (prouvée en lab) : octets du FileItem d'un autre utilisateur. Lab : PNG 57 octets, témoin dans le corps, HTTP 200 image/png. |
Fermé : chemin OS validateLocation de CVE-2026-49488. DOWNLOAD reste réservé aux modérateurs. Les fichiers de groupe nécessitent toujours l'appartenance au groupe s'ils ne sont pas sur le WB.
cd lab
./run.sh
Dernière ligne : SUCCESS OPENMEETINGS-WB-FILEID-WITNESS
Correctif suggéré : CREATE_OBJ doit rejeter un fileId que l'appelant ne peut pas lire. isAtWb n'est pas une ACL.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Fournisseur : [email protected]