abraxas/openmeetings-wb-fileid-idorApache OpenMeetings 9.1.0 - 高 - リモート - IDOR - WHITEBOARD の fileId を仕込み、その後 room のファイルリソースがバイト列を配信する
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-wb-fileid-idor
クラス: IDOR 到達範囲: リモート
Apache OpenMeetings 9.1.0。WHITEBOARD/PRESENTER の CREATE_OBJ は、任意の fileId を含むクライアント JSON を保存します。その後 RoomResourceReference は、isAtWb がその id を認識した場合にそれらのバイト列を配信します。CVE-2026-49488 はモデレーターの fuid OS パス読み取りを修正しました。この残存問題は、ホワイトボード上の数値ファイル id です。
デフォルトの公開・非モデレートルーム: 最初の参加者がプレゼンターになります。
| ID | CVE 未割当 |
| クラス | IDOR |
| 到達範囲 | リモート (ルームプレゼンター) |
| CWE | CWE-639 |
| CVSS | 高: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| 製品 | Apache OpenMeetings 9.1.0 |
| 認証 | ROOM、非モデレート公開ルームの最初の参加者 |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1:18154 のみ |
| 手法 | シンク | 権限 |
|---|---|---|
ルーム WS CREATE_OBJ で被害者の fileId を指定し、その後 GET /room/file/{id} | WbPanel.doActionWhiteboard + RoomResourceReference.getFileItem | 偵察 (ラボで実証済み): 別ユーザーの FileItem のバイト列。ラボ: PNG 57 バイト、本文にウィットネス、HTTP 200 image/png。 |
修正済み: CVE-2026-49488 の validateLocation OS パス。DOWNLOAD は依然としてモデレーター専用です。グループファイルは、WB 上にない場合は依然としてグループメンバーシップが必要です。
cd lab
./run.sh
最終行: SUCCESS OPENMEETINGS-WB-FILEID-WITNESS
推奨される修正: CREATE_OBJ は、呼び出し元が読み取れない fileId を拒否しなければなりません。isAtWb は ACL ではありません。
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
ベンダー: [email protected]