Apache OpenMeetings 9.1.0 - Alta - Remoto - IDOR - WHITEBOARD fileId plant then room file resource serves bytes
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-wb-fileid-idor
Classe: IDOR Alcance: Remoto
Apache OpenMeetings 9.1.0. O CREATE_OBJ do WHITEBOARD/PRESENTER armazena o JSON do cliente, incluindo qualquer fileId. O RoomResourceReference então serve esses bytes se isAtWb vir esse id. O CVE-2026-49488 fechou a leitura de caminho do SO via fuid do moderador. Este resíduo é um id numérico de arquivo no whiteboard.
Salas públicas não moderadas padrão: o primeiro a entrar é o apresentador.
| ID | ainda sem CVE |
| Classe | IDOR |
| Alcance | Remoto (apresentador da sala) |
| CWE | CWE-639 |
| CVSS | Alto: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| Produto | Apache OpenMeetings 9.1.0 |
| Autenticação | ROOM, primeiro a entrar em uma sala pública não moderada |
| Licença | GNU Affero GPL v3.0 |
| Lab | apenas 127.0.0.1:18154 |
| Método | Sink | Privilégio |
|---|---|---|
WS da sala CREATE_OBJ com fileId da vítima e depois GET /room/file/{id} | WbPanel.doActionWhiteboard + RoomResourceReference.getFileItem | Recon (comprovado em lab): bytes do FileItem de outro usuário. Lab: PNG de 57 bytes, testemunha no corpo, HTTP 200 image/png. |
Fechado: caminho do SO via validateLocation do CVE-2026-49488. O DOWNLOAD continua restrito a moderadores. Arquivos de grupo ainda exigem associação ao grupo se não estiverem no WB.
cd lab
./run.sh
Última linha: SUCCESS OPENMEETINGS-WB-FILEID-WITNESS
Correção sugerida: CREATE_OBJ deve rejeitar um fileId que o chamador não pode ler. isAtWb não é uma ACL.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Vendor: [email protected]