CVE-2026-33266
Apache OpenMeetings: हार्डकोडेड रिमेम्बर-मी कुकी एन्क्रिप्शन कुंजी और सॉल्ट
- प्रकाशित
- 9 अप्रैल 2026
- अद्यतन
- 10 अप्रैल 2026
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 17 अक्टू॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nकम · अगले 30 दिन
- प्रतिशत
- 26.5%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache OpenMeetings में हार्ड-कोडेड क्रिप्टोग्राफ़िक कुंजी का उपयोग करने की भेद्यता। remember-me कुकी एन्क्रिप्शन कुंजी openmeetings.properties में डिफ़ॉल्ट मान पर सेट है और स्वतः रोटेट नहीं की जा रही है। यदि OM व्यवस्थापक ने डिफ़ॉल्ट एन्क्रिप्शन कुंजी नहीं बदली है, तो लॉग-इन किए गए उपयोगकर्ता से कुकी चुराने वाला हमलावर पूर्ण उपयोगकर्ता क्रेडेंशियल प्राप्त कर सकता है। यह समस्या Apache OpenMeetings को प्रभावित करती है: 6.1.0 से 9.0.0 से पहले तक। उपयोगकर्ताओं को संस्करण 9.0.0 में अपग्रेड करने की सलाह दी जाती है, जो इस समस्या को ठीक करता है।
स्रोत
Apache OpenMeetings 9.1.0 - उच्च - रिमोट - ATO - remember-me कुकी रीप्ले बिना पासवर्ड के प्रमाणीकरण करता है
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।