openmeetings-remember-me-password

वर्ग: ATO पहुँच: रिमोट

Apache OpenMeetings 9.1.0। CVE-2026-33266 ने हार्डकोडेड remember-me कुंजी (प्रति-इंस्टेंस AES-GCM) को बंद कर दिया। कुकी LoggedIn में अभी भी उपयोगकर्ता नाम+पासवर्ड होता है। ऑप्ट-इन चेकबॉक्स credentials:rememberMe, डिफ़ॉल्ट रूप से बंद। केवल उस कुकी वाला एक नया क्लाइंट उपयोगकर्ता बन जाता है। कोई पासवर्ड नहीं। कोई JSESSIONID नहीं।


ID	अभी तक कोई CVE नहीं
वर्ग	ATO
पहुँच	रिमोट (चोरी हुई remember-me कुकी)
CWE	CWE-522, CWE-287
CVSS	उच्च: 8.1 `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N`
उत्पाद	Apache OpenMeetings 9.1.0
प्रमाणीकरण	ऑप्ट-इन remember-me कुकी
लाइसेंस	GNU Affero GPL v3.0
लैब	केवल `127.0.0.1:18158`

एक हमलावर क्या कर सकता है

विधि	सिंक	विशेषाधिकार
`Cookie: LoggedIn` को रीप्ले करें	remember-me डिक्रिप्ट + `signIn`	अखंडता (लैब-प्रमाणित): बिना पासवर्ड के प्रमाणीकृत मुख्य पृष्ठ। कुकी के बिना नियंत्रण साइन-इन पर ही रहता है।
`remember.me.key` के साथ ऑफ़लाइन डिक्रिप्ट	AES-GCM पेलोड	रीकॉन (अनुमानित): उपयोगकर्ता नाम+पासवर्ड बाइट्स। इस लैब में मैन्युअल डिक्रिप्ट पर `InvalidTag` आया; रीप्ले फिर भी काम कर गया।

बंद: हार्डकोडेड कुंजी (CVE-2026-33266)। डिफ़ॉल्ट चेकबॉक्स बंद।

लैब

cd lab
./run.sh

अंतिम पंक्ति: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS

सुझाया गया समाधान: पासवर्ड नहीं, बल्कि एक रोटेटिंग टोकन संग्रहीत करें। लॉगआउट पर LoggedIn साफ़ करें। कुकी को Secure चिह्नित करें। OTP नामांकित होने पर remember-me छोड़ दें।

संपर्क

Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]

विक्रेता: [email protected]

openmeetings-remember-me-password

सबसे लोकप्रिय

openmeetings-remember-me-password

एक हमलावर क्या कर सकता है

लैब

संपर्क