Apache OpenMeetings 9.1.0 — высокий уровень — удалённо — IDOR — WHITEBOARD fileId, затем room file resource отдаёт байты
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-wb-fileid-idor
Класс: IDOR Доступ: Удалённый
Apache OpenMeetings 9.1.0. WHITEBOARD/PRESENTER CREATE_OBJ сохраняет клиентский JSON, включая любой fileId. Затем RoomResourceReference отдаёт эти байты, если isAtWb видит этот id. CVE-2026-49488 закрыл чтение OS-пути модератора через fuid. Этот остаток — числовой id файла на доске.
Публичные комнаты без модерации по умолчанию: первый вошедший становится презентером.
| ID | CVE пока нет |
| Класс | IDOR |
| Доступ | Удалённый (презентер комнаты) |
| CWE | CWE-639 |
| CVSS | Высокий: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| Продукт | Apache OpenMeetings 9.1.0 |
| Аутентификация | ROOM, первый вошедший в публичную комнату без модерации |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1:18154 |
| Метод | Точка сброса | Привилегия |
|---|---|---|
Room WS CREATE_OBJ с fileId жертвы, затем GET /room/file/{id} | WbPanel.doActionWhiteboard + RoomResourceReference.getFileItem | Разведка (подтверждено в лаборатории): байты FileItem другого пользователя. Лаборатория: PNG 57 байт, свидетельство в теле, HTTP 200 image/png. |
Закрыто: CVE-2026-49488 validateLocation OS-путь. DOWNLOAD по-прежнему только для модераторов. Групповые файлы по-прежнему требуют членства в группе, если они не на WB.
cd lab
./run.sh
Последняя строка: SUCCESS OPENMEETINGS-WB-FILEID-WITNESS
Предлагаемое исправление: CREATE_OBJ должен отклонять fileId, который вызывающий не может прочитать. isAtWb — это не ACL.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Поставщик: [email protected]