सुरक्षा भेद्यता प्रकटीकरण — CVE-2026-78829 / 78830 / 78831 / 78832

चार भेद्यताओं के लिए सार्वजनिक तकनीकी प्रकटीकरण और प्रूफ-ऑफ-कॉन्सेप्ट पुनरुत्पादन चरण, जिन्हें MITRE CVE Program द्वारा CVE ID सौंपे गए हैं (CVE अनुरोध 2026-06-20 को दर्ज किया गया)।

प्रकट की गई भेद्यताएँ

CVE ID	उत्पाद	भेद्यता	CWE	CVSS 3.1	प्रमाणीकरण आवश्यक
CVE-2026-78829	Dromara MaxKey 4.x	OAuth प्रवाह में redirect_uri के माध्यम से परावर्तित XSS → व्यवस्थापक सत्र/JWT चोरी	CWE-79	8.2 उच्च	नहीं (तैयार किया गया लिंक)
CVE-2026-78830	mingSoft MCMS 6.1.1	अप्रमाणित /file/upload के माध्यम से संग्रहीत XSS	CWE-79	6.1 मध्यम	नहीं
CVE-2026-78831	OpenAuth.Net ≤ 8.3.4	/api/dynamic/Invoke के माध्यम से अप्रमाणित मनमाना उपयोगकर्ता पासवर्ड परिवर्तन	CWE-306	9.1 गंभीर	नहीं
CVE-2026-78832	OpenAuth.Net ≤ 8.3.4	/api/dynamic/GetList के माध्यम से अप्रमाणित संवेदनशील जानकारी का प्रकटीकरण	CWE-200	8.6 उच्च	नहीं

प्रत्येक फ़ोल्डर में शामिल है:

• README.md — पूर्ण सलाह: आधिकारिक CVE विवरण, मूल-कारण विश्लेषण, चरण-दर-चरण पुनरुत्पादन (HTTP अनुरोध/प्रतिक्रिया जोड़े और curl वन-लाइनर), प्रभाव, उपचार, संदर्भ, और समयरेखा।
• CVE-2026-XXXXX.json — CVE JSON 5 प्रारूप में भेद्यता रिकॉर्ड, जो आधिकारिक cvelistV5 रिपॉज़िटरी द्वारा उपयोग की जाने वाली संरचना से मेल खाता है, जिसे रिपोर्टर द्वारा संदर्भ के लिए तैयार किया गया है।

आक्रमण श्रृंखला नोट (OpenAuth.Net)

CVE-2026-78831 और CVE-2026-78832 का मूल कारण समान है — Dynamic API (/api/dynamic/*) कोई प्रमाणीकरण/प्राधिकरण नहीं करता — और इन्हें एक पूर्ण अप्रमाणित अधिग्रहण श्रृंखला में संयोजित किया जा सकता है:

1. GetList (CVE-2026-78832) SysUser को डंप करता है → सभी सादा-पाठ क्रेडेंशियल;
2. Invoke (CVE-2026-78831) व्यवस्थापक पासवर्ड बदलता है (या बस डंप किए गए पासवर्ड से लॉग इन करें);
3. अप्रतिबंधित, अप्रमाणित /api/Files/Upload एंडपॉइंट (अलग से रिपोर्ट किया गया, अभी तक कोई CVE ID नहीं सौंपा गया) WebShell/RCE क्षमता के साथ मनमाना फ़ाइल अपलोड सक्षम करता है।

अतिरिक्त निष्कर्ष (कोई CVE ID नहीं सौंपा गया)

उसी शोध के दौरान, OpenAuth.Net में दो और अप्रमाणित समस्याएँ पहचानी गईं, लेकिन वर्तमान असाइनमेंट में उन्हें CVE ID नहीं मिले:

• /api/dynamic/Delete के माध्यम से अप्रमाणित डेटा विलोपन (CWE-285, जिसमें एंटी-फोरेंसिक्स के लिए ऑडिट-लॉग विलोपन शामिल है) — मध्यम;
• /api/Files/Upload के माध्यम से अप्रमाणित अप्रतिबंधित फ़ाइल अपलोड (CWE-434, RCE क्षमता) — गंभीर।

ये स्थानीय शोध रिपोर्ट में प्रलेखित हैं और इन्हें अलग से CVE Program को प्रस्तुत किया जा सकता है।

जिम्मेदार प्रकटीकरण

सभी पुनरुत्पादन निजी स्वामित्व वाले परीक्षण इंस्टेंस या अधिकृत लक्ष्यों के विरुद्ध नियंत्रित प्रयोगशाला वातावरण में किए गए थे। कैप्चर की गई प्रतिक्रियाओं में संवेदनशील मान (पासवर्ड, टोकन, रहस्य) इन लेखों में संपादित किए गए हैं। ये प्रकटीकरण केवल रक्षात्मक उद्देश्यों के लिए प्रकाशित किए गए हैं — प्रभावित उत्पादों के उपयोगकर्ताओं को जोखिम का आकलन और शमन करने में सहायता करने के लिए।

समयरेखा

तिथि	घटना
2026-06-20	MITRE CVE Program के साथ CVE अनुरोध दर्ज किया गया
2026-06-24	OpenAuth.Net प्रयोगशाला सत्यापन पूर्ण
2026-06	MITRE द्वारा CVE-2026-78829 ~ CVE-2026-78832 सौंपे गए
2026-10-30	GitHub पर सार्वजनिक तकनीकी प्रकटीकरण

---

CloudFutureSec (@CloudFutureSec) द्वारा खोजा और रिपोर्ट किया गया।