Divulgazioni di vulnerabilità di sicurezza — CVE-2026-78829 / 78830 / 78831 / 78832

Divulgazioni tecniche pubbliche e passaggi di riproduzione proof-of-concept per quattro vulnerabilità a cui sono stati assegnati ID CVE dal MITRE CVE Program (richiesta CVE registrata il 2026-06-20).

Vulnerabilità divulgate

ID CVE	Prodotto	Vulnerabilità	CWE	CVSS 3.1	Autenticazione richiesta
CVE-2026-78829	Dromara MaxKey 4.x	XSS riflesso tramite `redirect_uri` nel flusso OAuth → furto di sessione/JWT dell'amministratore	CWE-79	8.2 Alta	No (link malevolo)
CVE-2026-78830	mingSoft MCMS 6.1.1	XSS memorizzato tramite `/file/upload` non autenticato	CWE-79	6.1 Media	No
CVE-2026-78831	OpenAuth.Net ≤ 8.3.4	Cambio arbitrario della password utente non autenticato tramite `/api/dynamic/Invoke`	CWE-306	9.1 Critica	No
CVE-2026-78832	OpenAuth.Net ≤ 8.3.4	Divulgazione di informazioni sensibili non autenticata tramite `/api/dynamic/GetList`	CWE-200	8.6 Alta	No

Ogni cartella contiene:

README.md — avviso completo: descrizione ufficiale della CVE, analisi della causa radice, riproduzione passo passo (coppie di richiesta/risposta HTTP e comandi curl one-liner), impatto, rimedio, riferimenti e cronologia.
CVE-2026-XXXXX.json — il record della vulnerabilità in formato CVE JSON 5, conforme alla struttura utilizzata dal repository ufficiale cvelistV5, preparato dal segnalatore come riferimento.

Nota sulla catena di attacco (OpenAuth.Net)

CVE-2026-78831 e CVE-2026-78832 condividono la stessa causa radice — la Dynamic API (/api/dynamic/*) non esegue alcuna autenticazione/autorizzazione — e possono essere combinate in una catena completa di takeover non autenticato:

GetList (CVE-2026-78832) estrae SysUser → tutte le credenziali in chiaro;
Invoke (CVE-2026-78831) cambia la password dell'amministratore (oppure è sufficiente accedere con la password estratta);
L'endpoint /api/Files/Upload illimitato e non autenticato (segnalato separatamente, nessun ID CVE ancora assegnato) consente il caricamento arbitrario di file con potenziale WebShell/RCE.

Ulteriori risultanze (nessun ID CVE assegnato)

Durante la stessa ricerca sono stati identificati due ulteriori problemi non autenticati in OpenAuth.Net che non hanno ricevuto ID CVE nell'assegnazione attuale:

Cancellazione di dati non autenticata tramite /api/dynamic/Delete (CWE-285, inclusa la cancellazione dei log di audit per anti-forensics) — Media;
Caricamento di file illimitato e non autenticato tramite /api/Files/Upload (CWE-434, potenziale RCE) — Critica.

Questi sono documentati nel rapporto di ricerca locale e potrebbero essere inviati separatamente al CVE Program.

Divulgazione responsabile

Tutte le riproduzioni sono state eseguite in ambienti di laboratorio controllati su istanze di test di proprietà privata o su target autorizzati. I valori sensibili nelle risposte catturate (password, token, segreti) sono oscurati in questi documenti. Queste divulgazioni sono pubblicate esclusivamente a scopo difensivo — per aiutare gli utenti dei prodotti interessati a valutare e mitigare il rischio.

Cronologia

Data	Evento
2026-06-20	Richiesta CVE registrata presso il MITRE CVE Program
2026-06-24	Verifica in laboratorio di OpenAuth.Net completata
2026-06	CVE-2026-78829 ~ CVE-2026-78832 assegnate da MITRE
2026-10-30	Divulgazione tecnica pubblica su GitHub

Scoperte e segnalate da CloudFutureSec (@CloudFutureSec).

cve-disclosures

Più Popolari